Perjanjian Pemrosesan Data

Perjanjian ini menjadi bagian dari Syarat & Ketentuan dan diterima bersamaan dengannya, saat Admin Sekolah mendaftarkan Sekolah atau mengaktifkan akun Admin Sekolah dari undangan.

Para pihak: Sekolah ("Pengendali") dan CV. Elcons Tech ("Prosesor").

1. Objek dan jangka waktu. Prosesor memproses Data Pribadi atas nama Pengendali untuk menyediakan Layanan presensi dan keselamatan siswa, selama Pengendali menggunakan Layanan dan selama masa ekspor/penghapusan.
2. Sifat dan tujuan. Penyimpanan, pengolahan kehadiran, klasifikasi, pembuatan insiden, pengiriman notifikasi, pelaporan, dan dukungan teknis. Tidak ada tujuan lain.
3. Jenis data dan kategori subjek. Sebagaimana tabel Kebijakan Privasi bagian 2; subjek: siswa (anak), wali, staf Pengendali.
4. Instruksi tertulis. Prosesor memproses hanya atas instruksi terdokumentasi Pengendali (fitur dan pengaturan Layanan, permintaan tertulis). Bila Prosesor menilai suatu instruksi melanggar hukum, ia memberitahu Pengendali.
5. Kerahasiaan. Personel Prosesor yang mengakses data terikat kerahasiaan dan hanya sebatas kebutuhan.
6. Keamanan. Langkah teknis dan organisasi yang memadai: enkripsi kredensial dan kunci kartu, TLS, pemisahan data antar sekolah, hash UID kartu, kontrol akses berbasis peran, log audit, dan pencadangan harian.
7. Sub-prosesor. Hanya sub-prosesor di Kebijakan Privasi bagian 5 (server VPS dan email). Penambahan atau penggantian memerlukan persetujuan tertulis Pengendali, dengan pemberitahuan 30 hari sebelumnya dan hak keberatan. Prosesor memastikan kewajiban setara dikenakan pada sub-prosesor dan tetap bertanggung jawab. Kanal notifikasi (Telegram, WhatsApp, dan penyedia gateway) adalah pilihan Pengendali yang dipakai atas nama Pengendali, bukan sub-prosesor Prosesor.
8. Bantuan hak subjek. Prosesor membantu Pengendali menanggapi permintaan akses, perbaikan, penghapusan, dan penarikan persetujuan dalam batas waktu peraturan.
9. Kegagalan PDP. Prosesor memberitahu Pengendali sedini mungkin dan menyediakan informasi untuk pemberitahuan 3 x 24 jam: data yang terkena, waktu, cara, dan langkah penanganan.
10. Penilaian dampak dan catatan. Prosesor membantu DPIA (data anak adalah pemrosesan berisiko tinggi) dan menyimpan catatan aktivitas pemrosesan yang relevan.
11. Audit. Pengendali dapat memeriksa kepatuhan Prosesor, dengan pemberitahuan wajar, dan Prosesor menyediakan informasi yang diperlukan.
12. Transfer lintas negara. Sebagaimana Kebijakan Privasi bagian 6; hanya dengan pemenuhan syarat UU PDP dan PP 33/2026.
13. Pengembalian dan penghapusan. Pada akhir Layanan, Prosesor menyediakan ekspor selama 30 hari, lalu menghapus atau menganonimkan data dalam 60 hari sesudahnya, sesuai Syarat & Ketentuan 12.4, dan menyerahkan catatan penghapusan.
14. Tanggung jawab. Pengendali tetap bertanggung jawab atas pemrosesan yang dilakukan Prosesor atas namanya, kecuali Prosesor bertindak di luar instruksi dan tujuan Pengendali (Pasal 51 UU PDP).