Proton
Terakhir diubah: 1 September 2026

Perjanjian Pemrosesan Data MSP

Perjanjian Pemrosesan Data ini ("Perjanjian") merupakan bagian dari Perjanjian Penyedia Layanan Terkelola ("Perjanjian Utama") antara Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Swiss, nomor identifikasi perusahaan CHE-354.686.492 (disebut sebagai "Pemroses"), dan MSP yang diidentifikasi dalam Perjanjian Utama (disebut sebagai "Perusahaan", dan yang dipahami sebagai penyedia layanan terkelola yang menggunakan Layanan untuk memprovisi, menagih biaya, dan mendukung Pelanggan Terkelola miliknya sendiri, terlepas dari bentuk hukumnya).

Perjanjian ini mengatur persyaratan khusus Hukum Perlindungan Data sejauh penggunaan Layanan oleh Perusahaan, termasuk penyediaan Layanan oleh Perusahaan kepada Pelanggan Terkelola, melibatkan Pemrosesan Data Pribadi yang tunduk pada Hukum Perlindungan Data.

Jangka waktu Perjanjian ini akan mengikuti jangka waktu Perjanjian Utama. Istilah yang tidak didefinisikan di sini memiliki arti yang ditetapkan dalam Perjanjian Utama.


BAHWA

A) Perusahaan bertindak sebagai Pengendali Data, atau, jika Pelanggan Terkelola itu sendiri menginstruksikan Pemrosesan Data Pribadinya sendiri, sebagai Pemroses Data atas nama Pelanggan Terkelola tersebut (dalam kedua kasus tersebut, disebut sebagai "Pengendali").

B) Perusahaan bermaksud untuk mensubkontrakkan Layanan tertentu, yang melibatkan Pemrosesan Data Pribadi, kepada Proton AG, yang bertindak sebagai Pemroses Data ("Pemroses").

C) Para Pihak bermaksud untuk menerapkan perjanjian pemrosesan data yang mematuhi persyaratan kerangka hukum saat ini sehubungan dengan pemrosesan data, termasuk Peraturan (UE) 2016/679 ("GDPR") dan Undang-Undang Federal Swiss tentang Perlindungan Data ("FADP"), serta Hukum Perlindungan Data lain yang berlaku.

D) Para Pihak ingin menetapkan hak dan kewajiban masing-masing.


DISEPAKATI SEBAGAI BERIKUT:

1. Definisi, Peran, dan Cakupan

1.1 Definisi. Kecuali didefinisikan lain di sini, istilah dengan huruf kapital memiliki arti yang diberikan dalam Perjanjian Utama atau, jika tidak didefinisikan di sana, memiliki arti sebagai berikut:

  • "Data Pribadi Perusahaan" berarti setiap Data Pribadi yang berkaitan dengan Perusahaan, Pelanggan Terkelola Perusahaan, atau pelanggan maupun karyawan masing-masing, yang Diproses sehubungan dengan Perjanjian Utama.
  • "Pemroses Kontrak" berarti Subpemroses.
  • "Hukum Perlindungan Data" berarti GDPR, FADP, dan, sejauh berlaku, hukum perlindungan data atau privasi dari negara lain mana pun.
  • "Transfer Data" berarti (i) transfer Data Pribadi Perusahaan dari Perusahaan ke Pemroses atau Pemroses Kontrak, atau (ii) transfer lanjutan Data Pribadi Perusahaan dari Pemroses ke Subpemroses, atau antara dua entitas Subpemroses.
  • "Pelanggan Terkelola" memiliki arti yang diberikan dalam Perjanjian Utama: suatu entitas pengguna akhir yang kepadanya Perusahaan menyediakan dan memberikan Layanan sebagai bagian dari penawaran layanan terkelola Perusahaan sendiri.
  • “Subpemroses” berarti setiap pihak yang ditunjuk oleh atau atas nama Pemroses untuk Memproses Data Pribadi sehubungan dengan Perjanjian.
  • Istilah "Komisi", "Pengendali", "Subjek Data", "Negara Anggota", "Data Pribadi", "Pelanggaran Data Pribadi", "Pemrosesan", dan "Otoritas Pengawas" memiliki arti yang sama seperti dalam GDPR atau Hukum Perlindungan Data lain yang berlaku.

1.2 Peran Para Pihak. Antara Proton dan Perusahaan, Perusahaan adalah Pengendali (atau, sebagaimana berlaku, Pemroses yang bertindak berdasarkan instruksi Pelanggan Terkelola) dan Proton adalah Pemroses, sehubungan dengan seluruh Data Pribadi Perusahaan yang Diproses berdasarkan Perjanjian Utama, termasuk Data Pribadi dari atau yang berkaitan dengan Pelanggan Terkelola dan pengguna akhir masing-masing. Perjanjian ini merupakan keseluruhan dan satu-satunya pengaturan pemrosesan data antara Proton dan pihak mana pun dalam rantai Pelanggan Terkelola. Proton tidak memiliki hubungan kontraktual langsung, hubungan Pengendali-Pemroses, atau Pemroses-Subpemroses dengan Pelanggan Terkelola mana pun, dan tidak ada Pelanggan Terkelola yang merupakan pihak dalam, atau penerima manfaat pihak ketiga dari, Perjanjian ini. Perusahaan bertanggung jawab sepenuhnya atas perjanjian dengan, dan kewajiban kepada, Pelanggan Terkelolanya, termasuk setiap ketentuan perlindungan data yang menjadi kewajiban Perusahaan kepada mereka berdasarkan hukum atau kontrak yang berlaku.

1.3 Tanggung jawab hilir Perusahaan. Perusahaan harus membuat perjanjian tertulis dengan setiap Pelanggan Terkelola yang membebankan kewajiban perlindungan data pada Perusahaan yang perlindungannya terhadap Data Pribadi Pelanggan Terkelola tersebut tidak kalah protektif dibandingkan dengan kewajiban Proton kepada Perusahaan berdasarkan Perjanjian ini, sejauh berlaku untuk sifat Layanan yang disediakan Perusahaan bagi Pelanggan Terkelola tersebut. Kewajiban Proton berdasarkan Perjanjian ini berlaku semata-mata kepada Perusahaan; Perusahaan tetap bertanggung jawab sepenuhnya kepada Pelanggan Terkelolanya atas Pemrosesan Data Pribadi mereka, termasuk atas tindakan atau kelalaian Proton, antara Perusahaan dan Pelanggan Terkelolanya.

2. Pemrosesan Data Pribadi Perusahaan

Pemroses wajib:

  • mematuhi semua Hukum Perlindungan Data yang berlaku dalam Pemrosesan Data Pribadi Perusahaan; dan
  • tidak Memproses Data Pribadi Perusahaan selain atas instruksi tertulis Perusahaan, sebagaimana diuraikan di bawah ini.

Perusahaan menginstruksikan Pemroses untuk Memproses Data Pribadi Perusahaan untuk:

  • menyediakan Layanan dan dukungan teknis terkait kepada Perusahaan dan, melalui Perusahaan, kepada Pelanggan Terkelola;
  • memenuhi kewajiban hukum atau menyelesaikan sengketa;
  • menjalankan tugas internal apa pun yang bertujuan untuk mengoptimalkan keamanan, privasi, kerahasiaan, dan fungsionalitas Layanan; dan
  • menjalankan pelaporan internal, pelaporan keuangan, dan tugas internal serupa lainnya.

3. Personel Pemroses

Pemroses harus mengambil langkah-langkah yang wajar untuk memastikan keandalan karyawan, agen, atau kontraktor dari Pemroses Kontrak mana pun yang mungkin memiliki akses ke Data Pribadi Perusahaan, guna memastikan dalam setiap kasus bahwa akses dibatasi secara ketat hanya untuk individu yang perlu mengetahui atau mengakses Data Pribadi Perusahaan terkait, sebagaimana yang benar-benar diperlukan untuk tujuan Perjanjian Utama dan/atau untuk mematuhi Hukum Perlindungan Data, serta memastikan bahwa semua individu tersebut tunduk pada komitmen kerahasiaan atau kewajiban kerahasiaan profesional maupun menurut undang-undang.

4. Keamanan

Sesuai dengan Pasal 32(1) GDPR, Pemroses harus menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk memastikan tingkat keamanan yang memadai terhadap risiko, dengan mempertimbangkan perkembangan teknologi terkini, biaya penerapan, serta sifat, cakupan, konteks, dan tujuan Pemrosesan. Langkah-langkah ini dirancang untuk melindungi hak dan kebebasan orang perseorangan, dengan mempertimbangkan berbagai tingkat kemungkinan dan keparahan risiko, termasuk risiko Pelanggaran Data Pribadi. Perusahaan harus menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk Pemrosesan Data Pribadi Perusahaan oleh Perusahaan sendiri, termasuk administrasinya atas akun Pelanggan Terkelola melalui Lisensi Admin MSP, dan harus memastikan bahwa akses ke akun tersebut dibatasi hanya untuk personel Perusahaan yang membutuhkannya, dilindungi oleh kontrol autentikasi yang memadai, dan segera dicabut apabila tidak lagi diperlukan.

5. Subpemrosesan

Tunduk pada Perjanjian ini, Perusahaan memberikan otorisasi umum kepada Pemroses untuk melibatkan Subpemroses dan mengungkapkan atau mentransfer Data Pribadi Perusahaan kepada mereka. Perusahaan mengakui dan menyetujui daftar Subpemroses yang diuraikan dalam Kebijakan Privasi Pemroses, dengan memahami bahwa daftar ini dapat diperbarui oleh Pemroses dari waktu ke waktu, dan dalam hal ini Perusahaan akan diberi tahu sesuai dengan proses notifikasi Kebijakan Privasi. Perusahaan lebih lanjut memberikan otorisasi kepada Pemroses untuk mengungkapkan dan mentransfer Data Pribadi kepada perusahaan mana pun dalam grup perusahaannya. Pemroses harus memastikan bahwa Subpemroses terikat pada perjanjian dengan Pemroses yang tidak kalah ketat dan protektif dibandingkan Perjanjian ini sehubungan dengan perlindungan Data Pribadi Perusahaan, sejauh berlaku untuk sifat layanan yang disediakan oleh Subpemroses tersebut. Untuk menghindari keraguan, Perusahaan bukan merupakan Subpemroses Proton dan Bagian ini tidak berlaku bagi keterlibatan Perusahaan sendiri dengan Pelanggan Terkelola atau pihak ketiga mana pun.

6. Hak Subjek Data

Dengan mempertimbangkan sifat Pemrosesan, Pemroses akan membantu Perusahaan secara wajar dalam memenuhi kewajiban Perusahaan untuk menanggapi permintaan pelaksanaan hak Subjek Data berdasarkan Hukum Perlindungan Data, termasuk permintaan yang diterima Perusahaan dari, atau atas nama, Pelanggan Terkelola atau pengguna akhir dari Pelanggan Terkelola itu sendiri.

Pemroses wajib:

  • segera memberi tahu Perusahaan jika menerima permintaan dari Subjek Data berdasarkan Hukum Perlindungan Data apa pun sehubungan dengan Data Pribadi Perusahaan; dan
  • memastikan tidak menanggapi permintaan tersebut kecuali atas instruksi tertulis Perusahaan atau sebagaimana diwajibkan oleh hukum yang berlaku, dan dalam hal ini Pemroses, sejauh diizinkan secara hukum, akan memberi tahu Perusahaan tentang persyaratan hukum tersebut sebelum menanggapi.

Perusahaan bertanggung jawab sepenuhnya untuk menanggapi, dan berkoordinasi dengan Pelanggan Terkelola mana pun mengenai, setiap permintaan Subjek Data yang berkaitan dengan Data Pribadi Pelanggan Terkelola tersebut; Pemroses tidak memiliki kewajiban untuk mengidentifikasi atau berkomunikasi langsung dengan Pelanggan Terkelola mana pun.

7. Pelanggaran Data Pribadi

Pemroses harus mengelola setiap Pelanggaran Data Pribadi sesuai dengan Hukum Perlindungan Data yang berlaku dan prosedur internal Pelanggaran Data Pribadinya. Dalam hal terjadi Pelanggaran Data Pribadi yang memengaruhi Data Pribadi Perusahaan, Pemroses harus memberi tahu Perusahaan tanpa penundaan, memberikan informasi yang memadai untuk memungkinkan Perusahaan memenuhi kewajibannya sendiri berdasarkan Hukum Perlindungan Data, termasuk, jika berlaku, memberi tahu Pelanggan Terkelola dan Subjek Data yang terdampak. Pemroses harus bekerja sama dengan Perusahaan dan mengambil langkah-langkah komersial yang wajar sebagaimana diarahkan oleh Perusahaan untuk membantu dalam penyelidikan, mitigasi, dan remediasi setiap Pelanggaran Data Pribadi tersebut. Masing-masing Pihak akan menanggung biaya penyelidikan, remediasi, mitigasi, dan biaya terkait lainnya sejauh Pelanggaran Data Pribadi tersebut disebabkan oleh Pihak yang bersangkutan. Masing-masing Pihak akan menanggung biaya denda, penalti, ganti rugi, atau jumlah terkait lainnya yang dikenakan oleh otoritas pengatur yang berwenang sejauh hal itu timbul dari pelanggaran Pihak itu sendiri terhadap kewajibannya berdasarkan Perjanjian ini. Perusahaan bertanggung jawab sepenuhnya atas notifikasi pelanggaran kepada Pelanggan Terkelolanya dan Subjek Data mereka, serta atas waktu dan isi notifikasi tersebut.

8. Penilaian Dampak Perlindungan Data dan Konsultasi Sebelumnya

Pemroses harus memberikan bantuan yang wajar kepada Perusahaan terkait penilaian dampak perlindungan data dan konsultasi sebelumnya dengan otoritas pengawas yang secara wajar dianggap perlu oleh Perusahaan berdasarkan Pasal 35 atau 36 GDPR atau ketentuan setara dari Hukum Perlindungan Data lainnya, dalam setiap kasus semata-mata sehubungan dengan Pemrosesan Data Pribadi Perusahaan oleh, dan dengan mempertimbangkan sifat Pemrosesan serta informasi yang tersedia bagi, Pemroses Kontrak.

9. Penghapusan atau Pengembalian Data Pribadi Perusahaan

Saat penghentian Layanan apa pun yang melibatkan Pemrosesan Data Pribadi Perusahaan, Pemroses harus menghapus semua Data Pribadi Perusahaan sejauh diizinkan oleh hukum yang berlaku dan sesuai dengan Syarat dan Ketentuan serta Kebijakan Privasi Pemroses. Apabila Perusahaan memerlukan salinan Data Pribadi Perusahaan, salinan tersebut harus diminta sebelum penghapusan; permintaan yang diajukan setelah penghapusan tidak dapat lagi dipertimbangkan. Saat pengakhiran Perjanjian Utama, Perusahaan tetap bertanggung jawab sepenuhnya untuk mengelola penghapusan, pengembalian, atau transisi Data Pribadi Pelanggan Terkelola mana pun antara Perusahaan dan Pelanggan Terkelola tersebut, sesuai dengan Bagian 5.4 dari Perjanjian Utama (Bantuan transisi).

10. Hak Audit

Tunduk pada Bagian 10 ini, Pemroses harus menyediakan bagi Perusahaan, berdasarkan permintaan, semua informasi yang diperlukan untuk menunjukkan kepatuhan terhadap Perjanjian ini, dan harus mengizinkan serta berkontribusi pada audit, termasuk inspeksi, oleh Perusahaan atau auditor yang diberi mandat oleh Perusahaan, sehubungan dengan Pemrosesan Data Pribadi Perusahaan oleh Pemroses Kontrak. Perusahaan tidak boleh menggunakan hak auditnya berdasarkan Bagian ini lebih dari sekali per tahun kalender, kecuali setelah terjadinya Pelanggaran Data Pribadi atau instruksi dari otoritas pengatur. Perusahaan harus memberikan pemberitahuan tertulis sebelumnya kepada Pemroses sekurang-kurangnya enam puluh (60) hari mengenai niatnya untuk melakukan audit. Audit harus dilakukan selama jam kerja Pemroses, tidak boleh mengganggu operasional Pemroses, dan harus memastikan perlindungan Data Pribadi Perusahaan, Pemroses, dan Subjek Data lainnya. Para Pihak harus menyepakati bersama terlebih dahulu mengenai tanggal, cakupan, durasi, serta kontrol keamanan dan kerahasiaan yang berlaku untuk audit; Pemroses dapat meminta perjanjian kerahasiaan sebelum audit dilakukan. Hak atas informasi dan audit berdasarkan Bagian ini hanya timbul sejauh Perjanjian ini tidak memberikan informasi dan hak audit lain kepada Perusahaan yang memenuhi persyaratan Hukum Perlindungan Data yang relevan. Jika Pelanggan Terkelola meminta informasi tentang Pemrosesan Proton sebagai bagian dari kewajiban uji tuntas Perusahaan sendiri kepada Pelanggan Terkelola tersebut, Perusahaan dapat mengandalkan Bagian ini untuk memperoleh informasi yang diperlukan dari Pemroses dan meneruskannya, tetapi Pelanggan Terkelola itu sendiri tidak memiliki hak audit independen terhadap Pemroses.

11. Transfer Data

Sejauh memungkinkan, Pemroses hanya akan mentransfer atau mengizinkan transfer Data Pribadi Perusahaan ke negara-negara di Swiss, UE, dan/atau negara-negara yang tunduk pada keputusan kecukupan, sebagaimana diatur dalam Pasal 45 GDPR dan Pasal 16 FADP Swiss. Jika Data Pribadi Perusahaan yang Diproses berdasarkan Perjanjian ini ditransfer dari Swiss, UE, atau negara yang tunduk pada keputusan kecukupan ke negara di luar cakupan tersebut, Para Pihak harus memastikan bahwa Data Pribadi dilindungi secara memadai, dengan mengandalkan, kecuali disepakati lain, klausul kontrak standar yang disetujui dan berlaku saat itu di Swiss, UE, dan/atau Inggris Raya, atau mekanisme transfer lainnya yang disediakan oleh Hukum Perlindungan Data. Pemroses diberi otorisasi untuk melakukan transfer tersebut ke Subpemroses dengan ketentuan bahwa pengamanan yang memadai telah diterapkan dengan mempertimbangkan sifat transfer tersebut.

12. Ketentuan Umum

12.1 Kepatuhan terhadap Hukum yang Berlaku. Pemroses akan Memproses Data Pribadi Perusahaan sesuai dengan Perjanjian ini dan Hukum Perlindungan Data yang berlaku untuk perannya berdasarkan Perjanjian ini. Pemroses tidak bertanggung jawab untuk mematuhi Hukum Perlindungan Data yang semata-mata berlaku bagi Perusahaan, atau bagi Pelanggan Terkelola mana pun, berdasarkan bisnis atau industri masing-masing.

12.2 Kerahasiaan. Masing-masing Pihak harus menjaga kerahasiaan informasi apa pun yang diterimanya tentang Pihak lainnya sehubungan dengan Perjanjian ini, dan tidak boleh menggunakan atau mengungkapkannya tanpa persetujuan tertulis sebelumnya dari Pihak lainnya, kecuali sejauh (a) pengungkapan diwajibkan oleh hukum, atau (b) informasi tersebut sudah berada di domain publik bukan karena kesalahan Para Pihak.

12.3 Pemberitahuan. Pemberitahuan berdasarkan Perjanjian ini harus diberikan sesuai dengan ketentuan pemberitahuan dalam Perjanjian Utama. Pemberitahuan kepada Pemroses mengenai hal-hal perlindungan data juga harus ditembuskan ke legal@proton.ch

12.4 Tanggung Jawab. Tanggung jawab masing-masing Pihak yang timbul dari atau sehubungan dengan Perjanjian ini tunduk pada, dan dibatasi sesuai dengan, ketentuan pembatasan tanggung jawab dalam Perjanjian Utama, termasuk batas tertentu yang ditetapkan di dalamnya atas pelanggaran kewajiban kerahasiaan dan perlindungan data. Tidak ada ketentuan dalam Perjanjian ini yang membatasi tanggung jawab salah satu Pihak atas denda atau penalti yang dikenakan langsung kepadanya oleh otoritas pengawas yang berwenang yang timbul dari pelanggaran Pihak itu sendiri terhadap Hukum Perlindungan Data yang berlaku. Perusahaan mengakui bahwa, sebagai satu-satunya pihak yang berhadapan dengan Pengendali bagi Pelanggan Terkelolanya, Perusahaan memikul tanggung jawab tunggal atas segala tanggung jawab yang ditanggung Perusahaan kepada Pelanggan Terkelola yang melebihi apa yang dapat diperoleh kembali oleh Perusahaan dari Pemroses berdasarkan batas tanggung jawab Perjanjian Utama.

12.5 Hukum yang Mengatur dan Yurisdiksi. Perjanjian ini diatur oleh hukum Swiss, tanpa memandang ketentuan pilihan atau konflik hukum dari yurisdiksi lainnya, dan sengketa yang timbul dari atau sehubungan dengan Perjanjian ini tunduk pada yurisdiksi eksklusif pengadilan Jenewa, Swiss.

12.6 Urutan keberlakuan. Apabila terdapat ketidaksesuaian antara Perjanjian ini dan Perjanjian Utama sehubungan dengan Pemrosesan Data Pribadi, Perjanjian ini yang berlaku, sesuai dengan Bagian 10.1 dari Perjanjian Utama. Apabila terdapat ketidaksesuaian antara versi bahasa Inggris dari Perjanjian ini dan versi terjemahannya, versi bahasa Inggris yang akan berlaku.