Perjanjian Pemrosesan Data

1.Tujuan dan cara berlakunya perjanjian ini

1.1  Pelanggan menggunakan layanan kuis, survei, asesmen, dan kursus online Quiz Maker ("Layanan") berdasarkan Ketentuan Layanan Quiz Maker ("Ketentuan Layanan"). Saat orang membuka atau menjawab kuis Pelanggan, Quiz Maker memproses Data Pribadi mereka atas nama Pelanggan.

1.2  Perjanjian Pemrosesan Data ini ("DPA") menetapkan syarat-syarat Pemrosesan tersebut sebagaimana diwajibkan oleh Pasal 28 GDPR (Peraturan Umum Pelindungan Data Uni Eropa), dan menyediakan dasar hukum yang sah untuk mentransfer Data Pribadi tersebut ke luar Kawasan Ekonomi Eropa.

1.3  Perjanjian Pemrosesan Data ini dibuat antara My Plaza Pty Ltd (ABN 58 110 054 245), yang menjalankan usaha dengan nama Quiz Maker ("Quiz Maker"), dan pelanggan yang memiliki akun Quiz Maker ("Pelanggan"). Perjanjian Pemrosesan Data ini merupakan bagian dari Ketentuan Layanan dan berlaku secara otomatis, tanpa tanda tangan, setiap kali Quiz Maker memproses Data Pribadi Pelanggan yang tunduk pada Hukum Pelindungan Data. Pelanggan menerimanya dengan menerima Ketentuan Layanan.

1.4  Pelanggan yang memerlukan salinan yang ditandatangani dapat memintanya melalui formulir kontak Quiz Maker. Salinan yang ditandatangani memuat syarat-syarat yang sama dengan Perjanjian Pemrosesan Data ini.

1.5  Jika terdapat pertentangan, urutan berikut berlaku: pertama Klausul Kontrak Standar (jika berlaku), kemudian Perjanjian Pemrosesan Data ini, kemudian Ketentuan Layanan. Dalam semua hal lainnya, Ketentuan Layanan tetap berlaku.

2.Definisi

Istilah yang digunakan dalam Perjanjian Pemrosesan Data ini tetapi tidak didefinisikan di sini (seperti Pengendali Data Pribadi, Prosesor Data Pribadi, Subjek Data Pribadi, Data Pribadi, Pemrosesan, dan otoritas pengawas) memiliki arti sebagaimana diberikan dalam GDPR. Selain itu:

3.Peran dan ruang lingkup

3.1  Pelanggan adalah Pengendali Data Pribadi atas Data Pribadi Pelanggan dan Quiz Maker adalah Prosesor Data Pribadinya.

3.2  Quiz Maker adalah Pengendali Data Pribadi atas informasi akun, proses masuk, dan penagihan milik Pelanggan sendiri, yang ditanganinya berdasarkan Kebijakan Privasi Quiz Maker. Informasi tersebut bukan Data Pribadi Pelanggan dan Perjanjian Pemrosesan Data ini tidak berlaku terhadapnya.

3.3  Pelanggan bertanggung jawab untuk memiliki dasar pemrosesan yang sah untuk mengumpulkan Data Pribadi Pelanggan melalui kuisnya, atas pemberitahuan yang diberikannya kepada Subjek Data Pribadi dan persetujuan yang diperolehnya dari mereka (termasuk persetujuan apa pun yang diwajibkan untuk cookie atau teknologi serupa pada kuisnya dan pada situs web tempat kuis tersebut disematkan), dan untuk tidak mengumpulkan Data Pribadi yang bersifat spesifik atau data lain yang dilarang oleh Ketentuan Layanan, kecuali Quiz Maker telah menyetujuinya secara tertulis.

4.Pemrosesan berdasarkan instruksi Pelanggan

4.1  Quiz Maker wajib memproses Data Pribadi Pelanggan hanya berdasarkan instruksi Pelanggan yang terdokumentasi, termasuk sehubungan dengan transfer ke negara ketiga. Instruksi Pelanggan adalah Perjanjian Pemrosesan Data ini, Ketentuan Layanan, serta penggunaan dan konfigurasi Layanan oleh Pelanggan (misalnya memublikasikan kuis, memilih apa yang ditanyakan, mengaktifkan email hasil atau Fitur AI, dan mengekspor atau menghapus respons).

4.2  Quiz Maker dapat memproses Data Pribadi Pelanggan dengan cara lain hanya jika diwajibkan oleh hukum Uni Eropa atau Negara Anggota yang berlaku baginya. Dalam hal tersebut, Quiz Maker wajib memberi tahu Pelanggan tentang persyaratan hukum tersebut sebelum melakukan Pemrosesan, kecuali jika hukum melarangnya atas dasar kepentingan umum yang penting.

4.3  Quiz Maker wajib segera memberi tahu Pelanggan jika, menurut pendapatnya, suatu instruksi melanggar Hukum Pelindungan Data.

4.4  Quiz Maker tidak akan menjual Data Pribadi Pelanggan, menggunakannya untuk iklan, menggunakannya untuk melatih model kecerdasan buatan, atau dengan cara lain menggunakannya untuk kepentingannya sendiri, kecuali untuk membuat statistik agregat yang tidak mengidentifikasi Pelanggan atau Subjek Data Pribadi mana pun, sebagaimana dijelaskan dalam Ketentuan Layanan.

5.Kerahasiaan

5.1  Quiz Maker wajib memastikan bahwa setiap orang yang diberinya wewenang untuk memproses Data Pribadi Pelanggan terikat oleh kewajiban kerahasiaan yang sesuai, dan bahwa akses dibatasi bagi staf yang memerlukannya untuk menyediakan, mengamankan, dan memberikan dukungan bagi Layanan.

6.Keamanan

6.1  Quiz Maker wajib menerapkan dan memelihara langkah teknis dan organisasional yang dijelaskan dalam Lampiran II untuk melindungi Data Pribadi Pelanggan, sebagaimana diwajibkan oleh Pasal 32 GDPR.

6.2  Quiz Maker dapat memperbarui langkah-langkah tersebut seiring perubahan teknologi dan ancaman, asalkan tingkat pelindungan secara keseluruhan tidak berkurang secara material.

7.Subprosesor

7.1  Pelanggan memberikan otorisasi tertulis umum kepada Quiz Maker untuk melibatkan Subprosesor. Subprosesor yang tercantum dalam Lampiran III telah disetujui.

7.2  Quiz Maker memublikasikan daftar Subprosesor terkini sebagai Lampiran III Perjanjian Pemrosesan Data ini di quiz-maker.com/Data-Processing-Agreement, dan wajib memperbaruinya setidaknya 30 hari sebelum menambahkan atau mengganti Subprosesor. Quiz Maker juga wajib mengirimkan pemberitahuan tersebut melalui email kepada setiap Pelanggan yang telah memintanya melalui formulir kontak.

7.3  Pelanggan dapat mengajukan keberatan atas Subprosesor baru berdasarkan alasan pelindungan data yang wajar dalam jangka waktu 30 hari tersebut, dan para pihak wajib membahas keberatan tersebut dengan iktikad baik. Jika keberatan tersebut tidak dapat diselesaikan, Pelanggan dapat mengakhiri Layanan yang terdampak dan Quiz Maker wajib memberikan pengembalian dana atas biaya yang telah dibayar di muka untuk periode yang belum terpakai.

7.4  Quiz Maker wajib melibatkan setiap Subprosesor berdasarkan kontrak tertulis yang membebankan kewajiban pelindungan data yang tidak kurang protektif dibandingkan kewajiban dalam Perjanjian Pemrosesan Data ini, dan tetap bertanggung jawab penuh kepada Pelanggan atas pelaksanaan kewajiban tersebut oleh setiap Subprosesor.

8.Permintaan Subjek Data Pribadi

8.1  Jika Quiz Maker menerima permintaan dari Subjek Data Pribadi mengenai Data Pribadi Pelanggan, Quiz Maker wajib meneruskan permintaan tersebut kepada Pelanggan tanpa penundaan yang tidak semestinya dan tidak akan menanggapinya selain untuk mengarahkan Subjek Data Pribadi kepada Pelanggan, kecuali Pelanggan memberikan otorisasi lain.

8.2  Layanan memungkinkan Pelanggan untuk melihat, mengekspor, memperbaiki, dan menghapus Data Pribadi Pelanggan secara mandiri. Jika Pelanggan tidak dapat melakukannya melalui Layanan, Quiz Maker wajib memberikan bantuan yang wajar, dengan mempertimbangkan sifat Pemrosesan, agar Pelanggan dapat menanggapi permintaan untuk melaksanakan hak Subjek Data Pribadi.

9.Kegagalan Pelindungan Data Pribadi

9.1  Quiz Maker wajib memberi tahu Pelanggan tanpa penundaan yang tidak semestinya setelah mengetahui adanya Kegagalan Pelindungan Data Pribadi, dan jika memungkinkan dalam 48 jam.

9.2  Pemberitahuan tersebut wajib menjelaskan, sejauh yang diketahui pada saat itu, sifat Kegagalan Pelindungan Data Pribadi, kategori dan perkiraan jumlah Subjek Data Pribadi serta catatan yang terkait, kemungkinan akibatnya, dan langkah-langkah yang telah diambil atau diusulkan. Jika tidak semua informasi ini diketahui sekaligus, Quiz Maker wajib menyampaikannya secara bertahap seiring tersedianya informasi tersebut.

9.3  Quiz Maker wajib mengambil langkah yang wajar untuk membatasi dan memulihkan Kegagalan Pelindungan Data Pribadi tersebut dan wajib memberikan kepada Pelanggan informasi yang secara wajar diperlukannya untuk memenuhi kewajibannya sendiri dalam memberi tahu otoritas pengawas dan Subjek Data Pribadi. Pemberitahuan atas Kegagalan Pelindungan Data Pribadi bukan merupakan pengakuan kesalahan atau tanggung jawab.

10.Bantuan untuk kepatuhan

10.1  Dengan mempertimbangkan sifat Pemrosesan dan informasi yang tersedia baginya, Quiz Maker wajib memberikan bantuan yang wajar kepada Pelanggan sehubungan dengan kewajibannya berdasarkan Pasal 32 sampai 36 GDPR, termasuk penilaian dampak pelindungan data dan konsultasi awal dengan otoritas pengawas.

11.Penghapusan dan pengembalian data

11.1  Selama Pelanggan menggunakan Layanan, Pelanggan dapat mengekspor atau menghapus Data Pribadi Pelanggan kapan saja.

11.2  Saat Layanan berakhir, Pelanggan memiliki waktu setidaknya 30 hari untuk mengekspor datanya. Setelah jangka waktu tersebut, Quiz Maker wajib menghapus Data Pribadi Pelanggan, kecuali hukum Uni Eropa atau Negara Anggota mewajibkan data tersebut disimpan.

11.3  Salinan yang disimpan dalam cadangan terenkripsi ditimpa sesuai jadwal pencadangan normal dan tetap dilindungi berdasarkan Perjanjian Pemrosesan Data ini hingga saat itu. Atas permintaan, Quiz Maker wajib mengonfirmasi secara tertulis bahwa penghapusan telah dilakukan.

12.Informasi dan audit

12.1  Quiz Maker wajib menyediakan bagi Pelanggan informasi yang diperlukan untuk menunjukkan kepatuhan terhadap Pasal 28 GDPR, termasuk informasi tertulis tentang langkah-langkah keamanannya dan jawaban atas kuesioner keamanan yang wajar.

12.2  Audit dilaksanakan dengan cara Quiz Maker menyediakan informasi tersebut dan menjawab pertanyaan lanjutan tertulis yang wajar dari Pelanggan mengenai informasi tersebut.

12.3  Inspeksi atas tempat atau sistem Quiz Maker hanya dapat dilakukan jika diwajibkan oleh otoritas pengawas yang berwenang, atau setelah terjadi Kegagalan Pelindungan Data Pribadi yang memengaruhi Data Pribadi Pelanggan. Inspeksi tersebut wajib dilakukan oleh auditor independen yang terikat kewajiban kerahasiaan dan bukan pesaing Quiz Maker, dengan pemberitahuan tertulis setidaknya 30 hari sebelumnya (atau pemberitahuan yang lebih singkat sebagaimana diwajibkan oleh otoritas tersebut), selama jam kerja normal, atas biaya Pelanggan, dan terbatas pada Pemrosesan Data Pribadi Pelanggan. Inspeksi tersebut tidak mencakup akses ke data pelanggan lain atau ke informasi yang akan membahayakan keamanan Layanan.

12.4  Klausul ini menetapkan cara pelaksanaan hak Pelanggan berdasarkan klausul 8.9 Klausul Kontrak Standar, dan tidak membatasi kewenangan otoritas pengawas mana pun.

13.Transfer data lintas negara

13.1  Pelanggan mengakui bahwa Quiz Maker didirikan di Australia, bahwa Data Pribadi Pelanggan di-host di server di Amerika Serikat, bahwa data tersebut melewati jaringan global Cloudflare, dan bahwa Subprosesor dalam Lampiran III memprosesnya di lokasi yang tercantum di sana.

13.2  Sejauh transfer Data Pribadi Pelanggan oleh Pelanggan kepada Quiz Maker merupakan transfer ke negara ketiga berdasarkan Bab V GDPR, Klausul Kontrak Standar dimasukkan ke dalam Perjanjian Pemrosesan Data ini melalui rujukan, dengan Pelanggan sebagai pengekspor data dan Quiz Maker sebagai pengimpor data, serta dengan pilihan berikut:

1. Klausul 7 (klausul aksesi pihak baru) berlaku.
2. Klausul 9(a): Opsi 2 (otorisasi tertulis umum) berlaku, jangka waktunya adalah 30 hari, dan pemberitahuan diberikan sebagaimana dijelaskan dalam klausul 7.2 Perjanjian Pemrosesan Data ini.
3. Klausul 11(a): ketentuan opsional tidak berlaku.
4. Klausul 13: otoritas pengawas yang berwenang adalah otoritas yang ditetapkan dalam Lampiran I, bagian C.
5. Klausul 17: Opsi 1 berlaku, dan hukum yang berlaku adalah hukum Irlandia.
6. Klausul 18(b): sengketa diselesaikan oleh pengadilan Irlandia.
7. Lampiran I, II, dan III Klausul Kontrak Standar dilengkapi oleh Lampiran I, II, dan III Perjanjian Pemrosesan Data ini.

13.3  Jika Quiz Maker mentransfer Data Pribadi Pelanggan kepada Subprosesor di negara ketiga, Quiz Maker wajib memastikan bahwa transfer tersebut dilindungi oleh pengamanan yang sesuai berdasarkan Bab V GDPR, seperti klausul kontrak standar atau keputusan kecukupan (termasuk EU-U.S. Data Privacy Framework (kerangka privasi data Uni Eropa-Amerika Serikat) jika Subprosesor tersebut tersertifikasi berdasarkan kerangka tersebut).

13.4  Quiz Maker wajib memberikan informasi yang wajar untuk membantu Pelanggan menilai transfer tersebut berdasarkan klausul 14 Klausul Kontrak Standar, dan wajib menangani setiap permintaan dari otoritas publik atas Data Pribadi Pelanggan sebagaimana diatur dalam klausul 15 Klausul Kontrak Standar.

13.5  Jika UK GDPR berlaku, maka berlaku International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (adendum transfer data internasional atas klausul kontrak standar Komisi Eropa) yang diterbitkan oleh UK Information Commissioner (komisioner informasi Britania Raya) (versi B1.0), dengan Tabel 1 sampai 3 dilengkapi oleh rincian dalam Perjanjian Pemrosesan Data ini beserta Lampirannya, dan masing-masing pihak dapat mengakhirinya sebagaimana diizinkan oleh Tabel 4. Jika Swiss Federal Act on Data Protection berlaku, Klausul Kontrak Standar berlaku dengan Swiss Federal Data Protection and Information Commissioner (komisioner federal Swiss untuk pelindungan data dan informasi) sebagai otoritas pengawas yang berwenang, dan rujukan pada GDPR dibaca sebagai rujukan pada undang-undang tersebut.

14.Tanggung jawab

14.1  Total tanggung jawab masing-masing pihak kepada pihak lainnya yang timbul dari atau sehubungan dengan Perjanjian Pemrosesan Data ini dan Klausul Kontrak Standar, digabungkan dengan semua tuntutan berdasarkan Ketentuan Layanan, tunduk pada batasan dan pengecualian tanggung jawab dalam Ketentuan Layanan, termasuk pengecualian atas kerugian tidak langsung dan konsekuensial serta batas maksimum tanggung jawab secara keseluruhan, sejauh diizinkan oleh hukum.

14.2  Tidak ada ketentuan dalam Perjanjian Pemrosesan Data ini yang membatasi tanggung jawab salah satu pihak kepada Subjek Data Pribadi berdasarkan Klausul Kontrak Standar, atau tanggung jawab apa pun yang tidak dapat dibatasi atau dikecualikan oleh hukum.

15.Jangka waktu, perubahan, dan ketentuan umum

15.1  Perjanjian Pemrosesan Data ini mulai berlaku pada tanggal 25 Agustus 2026, atau saat Pelanggan menerima Ketentuan Layanan jika saat itu lebih lambat, dan tetap berlaku selama Quiz Maker memproses Data Pribadi Pelanggan. Klausul yang menurut sifatnya harus tetap berlaku setelah pengakhiran akan tetap berlaku.

15.2  Perjanjian Pemrosesan Data ini tunduk pada hukum yang berlaku bagi Ketentuan Layanan, kecuali bahwa Klausul Kontrak Standar tunduk pada hukum yang dipilih dalam klausul 13.2. Tidak ada ketentuan dalam Perjanjian Pemrosesan Data ini yang mengurangi hak Subjek Data Pribadi berdasarkan Klausul Kontrak Standar.

15.3  Quiz Maker dapat memperbarui Perjanjian Pemrosesan Data ini dengan cara yang sama sebagaimana Ketentuan Layanan mengizinkan Quiz Maker memperbarui Ketentuan Layanan. Pembaruan tidak akan mengurangi secara material pelindungan yang diberikan Perjanjian Pemrosesan Data ini bagi Data Pribadi Pelanggan, kecuali jika diwajibkan oleh perubahan Hukum Pelindungan Data atau klausul kontrak standar baru yang diadopsi oleh Komisi Eropa.

15.4  Jika suatu ketentuan dalam Perjanjian Pemrosesan Data ini tidak sah atau tidak dapat diberlakukan, ketentuan lainnya tetap berlaku.

15.5  Jika para pihak menandatangani salinan Perjanjian Pemrosesan Data ini, salinan tersebut dapat ditandatangani secara elektronik dan dalam beberapa rangkap, yang masing-masing merupakan dokumen asli.

Lampiran I: Deskripsi Pemrosesan

A. Daftar para pihak

B. Deskripsi transfer

C. Otoritas pengawas yang berwenang

Jika Pelanggan didirikan di Uni Eropa, otoritas pengawas Negara Anggota tempat Pelanggan didirikan (atau otoritas pengawas utamanya, jika Pelanggan memiliki lebih dari satu tempat usaha). Jika Pelanggan tidak didirikan di Uni Eropa tetapi GDPR berlaku baginya, otoritas pengawas Negara Anggota tempat perwakilannya berdasarkan Pasal 27 GDPR berkedudukan, atau, jika Pelanggan tidak diwajibkan menunjuk perwakilan, otoritas pengawas Negara Anggota tempat Responden yang bersangkutan berada.

Lampiran II: Langkah teknis dan organisasional

Lampiran III: Subprosesor yang disetujui

Stripe, Inc. memproses informasi penagihan milik Pelanggan sendiri, yang Pengendali Data Pribadinya adalah Quiz Maker. Stripe tidak menerima Data Pribadi Pelanggan dan bukan Subprosesor berdasarkan Perjanjian Pemrosesan Data ini.