Pernyataan Kepatuhan GDPR

RIADVICE SUARL (“RIADVICE” atau “kami”) melindungi data pribadi sesuai dengan Peraturan Umum Pelindungan Data (UE) 2016/679 (“GDPR”) dan Undang-Undang Organik Tunisia No. 2004-63 tanggal 27 Juli 2004 tentang pelindungan data pribadi. Pernyataan ini menjelaskan cara kami mematuhi GDPR ketika kami memproses data pribadi atas nama Pelanggan kami, apa yang menjadi komitmen kami sebagai prosesor data pribadi, dan cara subjek data pribadi menggunakan haknya. Pernyataan ini menggunakan definisi dalam Ketentuan Penggunaan kami dan melengkapi Kebijakan Privasi kami, yang mencakup pemrosesan yang pengendali data pribadinya adalah RIADVICE.

1. Ruang lingkup

Pernyataan ini berlaku untuk Layanan Terhosting dan Layanan Profesional yang di dalamnya RIADVICE memproses data pribadi atas nama seorang Pelanggan. Apabila seorang Pelanggan telah menandatangani perjanjian pemrosesan data dengan RIADVICE, perjanjian tersebut berlaku di atas pernyataan ini. Apabila belum, komitmen dalam Bagian 4 berlaku sebagai ketentuan pemrosesan yang disyaratkan oleh Pasal 28 GDPR, sebagaimana diatur dalam Bagian 5 Ketentuan Penggunaan kami.

2. Layanan kami dan data yang terlibat

RIADVICE menyediakan layanan hosting dan layanan terkelola untuk BigBlueButton dan untuk aplikasi lain yang digunakan oleh organisasi pendidikan, publik, dan komersial. BigBlueButton memungkinkan kolaborasi waktu nyata melalui audio, video, obrolan, jajak pendapat, catatan bersama, papan tulis, dan berbagi layar. Sesi dapat direkam, bergantung pada kebijakan dan pengaturan Pelanggan. Layanan tambahan kami mengonversi rekaman menjadi video, menghasilkan dasbor dan laporan kehadiran dan keterlibatan dari data sesi, serta mendistribusikan rapat ke beberapa server. Kami juga mengoperasikan aplikasi untuk Pelanggan, seperti sinkronisasi dan berbagi berkas, toko daring, dan middleware pengiriman email. Melindungi privasi dan keamanan data ini merupakan inti dari pekerjaan kami, dan kami menerapkan prinsip-prinsip GDPR, yaitu keabsahan, keadilan, transparansi, pembatasan tujuan, minimalisasi data, akurasi, pembatasan penyimpanan, integritas, kerahasiaan, dan akuntabilitas.

3. Peran

• Dalam sebagian besar kasus, Pelanggan, misalnya institusi pendidikan, lembaga pelatihan, atau perusahaan, adalah pengendali data pribadi. RIADVICE adalah prosesor data pribadinya.
• Apabila Pelanggan sendiri bertindak sebagai prosesor data pribadi untuk organisasi lain, misalnya lembaga pelatihan yang melayani kliennya, RIADVICE bertindak sebagai subprosesornya.
• RIADVICE adalah pengendali data pribadi hanya untuk data yang diprosesnya untuk tujuannya sendiri, seperti pengelolaan akun Pelanggan, penagihan, dan dukungan, sebagaimana diuraikan dalam Kebijakan Privasi.

4. Komitmen kami sebagai prosesor data pribadi

Ketika RIADVICE memproses data pribadi atas nama seorang Pelanggan, RIADVICE:

• memproses data hanya berdasarkan instruksi terdokumentasi dari Pelanggan, termasuk sehubungan dengan transfer internasional, kecuali hukum yang berlaku bagi RIADVICE mensyaratkan lain, dan dalam hal demikian RIADVICE memberi tahu Pelanggan sebelum pemrosesan kecuali hukum tersebut melarangnya. Ketentuan Penggunaan, Formulir Pemesanan, dan konfigurasi yang dipilih Pelanggan dalam layanan merupakan instruksinya;
• memberi tahu Pelanggan apabila, menurut pendapatnya, suatu instruksi melanggar GDPR atau hukum pelindungan data lainnya;
• memastikan bahwa orang-orang yang diberi wewenang untuk memproses data terikat kewajiban kerahasiaan;
• menerapkan langkah-langkah keamanan yang diuraikan dalam Bagian 8, sesuai dengan Pasal 32 GDPR;
• melibatkan subprosesor hanya berdasarkan persyaratan dalam Bagian 10;
• membantu Pelanggan, dengan mempertimbangkan sifat pemrosesan, dalam menanggapi permintaan dari subjek data pribadi;
• membantu Pelanggan dalam memastikan kepatuhan terhadap kewajibannya terkait keamanan, pemberitahuan pelanggaran, penilaian dampak pelindungan data, dan konsultasi sebelumnya, dengan mempertimbangkan informasi yang tersedia bagi RIADVICE;
• pada akhir layanan, menghapus atau mengembalikan data pribadi sesuai pilihan Pelanggan, sebagaimana diuraikan dalam Bagian 13, kecuali hukum mewajibkan penyimpanannya;
• menyediakan kepada Pelanggan informasi yang diperlukan untuk menunjukkan kepatuhan terhadap Pasal 28 GDPR, serta memungkinkan dan berkontribusi pada audit sebagaimana diuraikan dalam Bagian 14.

Bantuan yang melampaui apa yang disediakan RIADVICE sebagai bagian dari layanan standar dapat dikenakan biaya sesuai tarifnya yang berlaku, kecuali kebutuhan akan bantuan tersebut timbul akibat pelanggaran oleh RIADVICE.

5. Dasar hukum dan persetujuan

Sebagai pengendali data pribadi, Pelanggan menentukan dasar hukum pemrosesan berdasarkan Pasal 6 GDPR, misalnya pelaksanaan kontrak, kewajiban hukum, tugas yang dilaksanakan untuk kepentingan umum, kepentingan yang sah, atau persetujuan, dan, apabila diperlukan, suatu syarat berdasarkan Pasal 9 GDPR. Apabila persetujuan diperlukan, misalnya untuk beberapa rekaman, Pelanggan memperolehnya, biasanya melalui sistem manajemen pembelajarannya atau platform antarmuka lainnya. Pelanggan juga memberi tahu peserta sebelum suatu sesi direkam. BigBlueButton menunjukkan kepada peserta ketika suatu sesi sedang direkam.

6. Kategori data dan subjek data pribadi

Bergantung pada layanan dan cara Pelanggan menggunakannya, subjek data pribadi mencakup staf, pengajar, mahasiswa atau siswa, peserta pelatihan, peserta, tamu, dan kontak Pelanggan. Data tersebut dapat mencakup:

• data identifikasi, seperti nama, nama pengguna, alamat email, dan pengidentifikasi pengguna yang diteruskan oleh platform Pelanggan;
• data partisipasi, seperti waktu bergabung dan keluar, durasi berbicara, durasi webcam dan berbagi layar, aktivitas obrolan, jawaban jajak pendapat, dan reaksi;
• konten yang dibagikan selama sesi, seperti audio, video, pesan obrolan, presentasi, catatan, anotasi papan tulis, dan rekaman;
• berkas, dokumen, dan pesan yang disimpan dalam aplikasi yang dioperasikan untuk Pelanggan;
• data teknis, seperti alamat IP, jenis peramban dan sistem operasi, serta log koneksi.

Pelanggan tidak boleh menggunakan layanan untuk memproses kategori khusus data pribadi atau data yang berkaitan dengan putusan pidana kecuali Pelanggan memiliki dasar hukum untuk melakukannya dan, apabila diperlukan langkah-langkah khusus, telah memberi tahu RIADVICE sebelumnya.

7. Penyimpanan

Jangka waktu penyimpanan ditentukan oleh Pelanggan sebagai pengendali data pribadi. Rekaman dan data rapat dihapus secara otomatis setelah jangka waktu penyimpanan yang dikonfigurasi untuk platform Pelanggan atau yang tercantum dalam Formulir Pemesanan, kecuali Pelanggan meminta lain atau hukum mewajibkan penyimpanannya. Log teknis hanya disimpan selama diperlukan untuk mengoperasikan dan mengamankan layanan.

8. Langkah-langkah keamanan

RIADVICE menerapkan langkah-langkah teknis dan organisasional yang sesuai dengan risikonya, termasuk:

• enkripsi data saat transit dan enkripsi data rahasia;
• kontrol akses, mekanisme autentikasi, dan akses yang dibatasi bagi staf yang berwenang berdasarkan prinsip kebutuhan untuk mengetahui (need-to-know);
• pemisahan lingkungan dan data Pelanggan, apabila rancangan layanan memungkinkannya;
• pembaruan dan patch keamanan berkala;
• pemantauan sistem dan layanan;
• prosedur pencadangan dan pemulihan;
• komitmen kerahasiaan dan pelatihan staf tentang pelindungan data dan GDPR.

9. Pelanggaran data pribadi

RIADVICE memberi tahu Pelanggan tanpa penundaan yang tidak semestinya setelah mengetahui adanya pelanggaran data pribadi yang memengaruhi data Pelanggan. Pemberitahuan tersebut menguraikan, sejauh informasinya tersedia, sifat pelanggaran, kategori dan perkiraan jumlah subjek data pribadi dan catatan yang bersangkutan, kemungkinan akibatnya, serta langkah-langkah yang telah diambil atau diusulkan. RIADVICE selanjutnya memberikan informasi tambahan begitu tersedia dan membantu Pelanggan memenuhi kewajibannya sendiri untuk memberi tahu otoritas pengawas dan, apabila diwajibkan, subjek data pribadi.

10. Subprosesor

Pelanggan memberikan kepada RIADVICE otorisasi umum untuk melibatkan subprosesor. RIADVICE membebankan kepada setiap subprosesor kewajiban pelindungan data yang setara dengan kewajiban dalam pernyataan ini, melalui kontrak tertulis, dan tetap bertanggung jawab kepada Pelanggan atas subprosesornya. RIADVICE memberikan pemberitahuan atas setiap rencana penambahan atau penggantian subprosesor, melalui email atau dengan memperbarui daftar ini, sebelum perubahan tersebut berlaku apabila secara wajar memungkinkan. Seorang Pelanggan dapat menyatakan keberatan atas dasar pelindungan data yang wajar. Jika para pihak tidak dapat menyelesaikan keberatan tersebut, Pelanggan dapat mengakhiri layanan yang terdampak.

Subprosesor yang digunakan untuk layanan terhosting dan layanan terkelola adalah:

Tidak setiap subprosesor digunakan untuk setiap layanan. Formulir Pemesanan atau konfigurasi platform Pelanggan menyatakan lokasi hosting layanan Pelanggan. Subprosesor yang terlibat dalam suatu layanan tertentu tersedia berdasarkan permintaan.

11. Transfer internasional

RIADVICE didirikan di Tunisia, yang tidak tercakup dalam keputusan kecukupan Komisi Eropa. Data pribadi yang ditransfer kepada RIADVICE oleh seorang Pelanggan di Uni Eropa atau Kawasan Ekonomi Eropa dilindungi oleh Klausul Kontrak Standar yang diadopsi oleh Komisi Eropa dalam Keputusan Pelaksanaan (UE) 2021/914 (modul dua, dari pengendali data pribadi ke prosesor data pribadi, atau modul tiga, dari prosesor data pribadi ke prosesor data pribadi), yang dilengkapi dengan langkah-langkah dalam Bagian 8. Apabila subprosesor memproses data pribadi di luar Uni Eropa atau Kawasan Ekonomi Eropa, RIADVICE mengandalkan keputusan kecukupan atau Klausul Kontrak Standar. Transfer dari Tunisia dilakukan berdasarkan persyaratan Undang-Undang Organik No. 2004-63, termasuk otorisasi dari INPDP apabila disyaratkan.

12. Permintaan subjek data pribadi

Berdasarkan GDPR, subjek data pribadi berhak untuk mengakses, memperbaiki, dan menghapus datanya, membatasi atau menyatakan keberatan atas pemrosesannya, serta atas portabilitas data. Pengguna suatu layanan terhosting sebaiknya terlebih dahulu menghubungi organisasinya, yang merupakan pengendali data pribadi. Jika RIADVICE menerima permintaan secara langsung, RIADVICE meneruskannya kepada Pelanggan tanpa penundaan yang tidak semestinya dan tidak menjawabnya sendiri kecuali Pelanggan memberikan otorisasi. RIADVICE membantu Pelanggan untuk menjawab, misalnya dengan menemukan, mengekspor, atau menghapus data.

13. Pengembalian dan penghapusan

Pada akhir layanan, Pelanggan dapat mengekspor datanya sebagaimana diatur dalam Bagian 25 Ketentuan Penggunaan. RIADVICE kemudian menghapus data pribadi dari sistem aktifnya, dan dari cadangan seiring ditimpanya cadangan dalam rotasi normalnya, kecuali hukum mewajibkan penyimpanannya. Data yang menunggu untuk dihapus dari cadangan tidak diproses lebih lanjut, kecuali untuk memulihkan sistem. Atas permintaan, RIADVICE mengonfirmasi penghapusan secara tertulis.

14. Audit dan informasi

RIADVICE menjawab pertanyaan tertulis dan kuesioner keamanan yang wajar dari Pelanggan mengenai pemrosesannya. Apabila informasi ini tidak cukup untuk menunjukkan kepatuhan, seorang Pelanggan dapat melakukan audit, sendiri atau melalui auditor independen yang terikat kewajiban kerahasiaan, tidak lebih dari satu kali setahun kecuali dibenarkan oleh adanya pelanggaran data pribadi atau permintaan dari otoritas pengawas, dengan pemberitahuan paling sedikit tiga puluh (30) hari sebelumnya, selama jam kerja, dan tanpa mengganggu layanan atau membahayakan keamanan atau kerahasiaan data pelanggan lain. Setiap pihak menanggung biayanya sendiri, kecuali audit mengungkapkan pelanggaran material oleh RIADVICE.

15. Kontak pelindungan data

Kontak pelindungan data RIADVICE mengawasi kepatuhan dan menjawab pertanyaan serta permintaan mengenai data pribadi di privacy@riadvice.tn.

16. Kontak

Untuk informasi lebih lanjut mengenai kepatuhan GDPR kami atau praktik privasi kami, hubungi privacy@riadvice.tn atau contact@riadvice.com, atau kirimkan surat ke RIADVICE SUARL, Appartement B1, Résidence Ramzi, 2074 Mourouj 5, Ben Arous, Tunisia.

Terakhir diperbarui: 9 Oktober 2026