LAMPIRAN no. 4 dari Ketentuan Penggunaan: Klausul Kontraktual Standar

MODUL EMPAT: Transfer prosesor ke pengendali

Berlaku mulai 30 September 2026 | Lihat versi sebelumnya dari Klausul Kontraktual Standar | Bandingkan perubahan

Selain Ketentuan, Klausul Kontraktual Standar ini (yang memuat Klausul Kontraktual Standar Komisi Eropa (2021/914/EU)), sebagaimana diuraikan di bawah ini, akan berlaku, tanpa perlu pelaksanaan lebih lanjut, apabila Para Pihak diwajibkan untuk menyepakatinya dalam konteks penyediaan Layanan yang terkait dengan pembelian atau perolehan Langganan, dan sejauh terdapat transfer data pribadi kepada suatu entitas di negara ketiga di luar Kawasan Ekonomi Eropa atau yang tidak ditetapkan sebagai memadai berdasarkan keputusan Komisi Eropa (pengimpor data).

Kecuali ditentukan lain oleh ketentuan tertentu dalam Klausul Kontraktual Standar ini, makna semua istilah yang diawali huruf kapital yang terdapat di dalamnya adalah sebagaimana didefinisikan dalam Ketentuan dan Lampiran 3-nya - Perjanjian Pemrosesan Data ("Perjanjian Pemrosesan Data").

BAGIAN I

Klausul 1 Tujuan dan ruang lingkup

(a) Tujuan Klausul Kontraktual Standar ini adalah untuk memastikan kepatuhan terhadap persyaratan Regulasi (UE) 2016/679 Parlemen Eropa dan Dewan tanggal 27 April 2016 tentang perlindungan orang perseorangan terkait pemrosesan data pribadi dan tentang pergerakan bebas data tersebut (Regulasi Perlindungan Data Umum) (1) untuk transfer data pribadi ke negara ketiga.

(b) Para Pihak:

(i) orang perseorangan atau badan hukum, otoritas publik, lembaga atau badan lain (selanjutnya disebut "entitas") yang mentransfer data pribadi, sebagaimana tercantum dalam Lampiran I.A (selanjutnya masing-masing disebut "eksportir data"), dan

(ii) entitas di negara ketiga yang menerima data pribadi dari eksportir data, secara langsung atau tidak langsung melalui entitas lain yang juga merupakan Pihak dalam Klausul ini, sebagaimana tercantum dalam Lampiran I.A (selanjutnya masing-masing disebut "importir data")

telah menyetujui Klausul Kontraktual Standar ini (selanjutnya: "Klausul").

(c) Klausul-klausul ini berlaku sehubungan dengan transfer data pribadi sebagaimana ditentukan dalam Lampiran I.B.

(d) Apendiks pada Klausul-klausul ini yang memuat Aneks-aneks yang dirujuk di dalamnya merupakan bagian tak terpisahkan dari Klausul-klausul ini.

Klausul 2 Keberlakuan dan ketidakberubahan Klausul

(a) Klausul-klausul ini menetapkan perlindungan yang memadai, termasuk hak subjek data yang dapat ditegakkan dan upaya hukum yang efektif, sesuai dengan Pasal 46(1) dan Pasal 46(2)(c) Peraturan (UE) 2016/679 dan, sehubungan dengan transfer data dari pengendali ke pemroses dan/atau pemroses ke pemroses, Klausul Kontraktual Standar sesuai dengan Pasal 28(7) Peraturan (UE) 2016/679, dengan ketentuan bahwa klausul tersebut tidak dimodifikasi, kecuali untuk memilih Modul yang sesuai atau untuk menambahkan atau memperbarui informasi dalam Lampiran. Hal ini tidak menghalangi Para Pihak untuk memasukkan Klausul Kontraktual Standar yang ditetapkan dalam Klausul ini ke dalam kontrak yang lebih luas dan/atau menambahkan klausul lain atau perlindungan tambahan, sepanjang hal tersebut tidak bertentangan, secara langsung maupun tidak langsung, dengan Klausul ini atau merugikan hak atau kebebasan fundamental subjek data.

(b) Klausul-Klausul ini tidak mengurangi kewajiban-kewajiban yang berlaku bagi eksportir data berdasarkan Peraturan (UE) 2016/679.

Klausul 3 Penerima manfaat pihak ketiga

(a) Subjek data dapat mengajukan dan menegakkan Klausul ini, sebagai penerima manfaat pihak ketiga, terhadap eksportir data dan/atau importir data, dengan pengecualian berikut:

(i) Klausul 1, Klausul 2, Klausul 3, Klausul 6, Klausul 7;

(ii) Klausul 8 – Modul Satu: Klausul 8.5 (e) dan Klausul 8.9(b); Modul Dua: Klausul 8.1(b), 8.9(a), (c), (d) dan (e); Modul Tiga: Klausul 8.1(a), (c) dan (d) serta Klausul 8.9(a), (c), (d), (e), (f) dan (g); Modul Empat: Klausul 8.1 (b) dan Klausul 8.3(b);

(iii) Klausul 9 – Modul Dua: Klausul 9(a), (c), (d) dan (e); Modul Tiga: Klausul 9(a), (c), (d) dan (e);

(iv) Klausul 12 – Modul Satu: Klausul 12(a) dan (d); Modul Dua dan Tiga: Klausul 12(a), (d) dan (f);

(v) Klausul 13;

(vi) Klausul 15.1(c), (d) dan (e);

(vii) Klausul 16(e);

(viii) Klausul 18 – Modul Satu, Dua, dan Tiga: Klausul 18(a) dan (b); Modul Empat: Klausul 18.

(b) Paragraf (a) tidak mengurangi hak subjek data berdasarkan Peraturan (UE) 2016/679.

Klausul 4 Interpretasi

(a) Apabila Klausul-Klausul ini menggunakan istilah-istilah yang didefinisikan dalam Peraturan (UE) 2016/679, istilah-istilah tersebut memiliki makna yang sama seperti dalam Peraturan tersebut.

(b) Klausul-klausul ini harus dibaca dan ditafsirkan berdasarkan ketentuan Peraturan (UE) 2016/679.

(c) Klausul-klausul ini tidak boleh ditafsirkan dengan cara yang bertentangan dengan hak dan kewajiban yang diatur dalam Peraturan (UE) 2016/679.

Klausul 5 Hierarki

Jika terjadi pertentangan antara Klausul-klausul ini dan ketentuan perjanjian terkait antara Para Pihak, baik yang telah ada pada saat Klausul-klausul ini disepakati maupun yang dibuat setelahnya, Klausul-klausul ini yang berlaku.

Klausul 6 Deskripsi transfer

Rincian transfer, dan khususnya kategori data pribadi yang ditransfer serta tujuan dilakukannya transfer tersebut, dirinci dalam Lampiran I.B.

Klausul 7 Klausul Docking opsional

(a) Suatu entitas yang bukan merupakan Pihak dalam Klausul-klausul ini dapat, dengan persetujuan Para Pihak, bergabung dengan Klausul-klausul ini kapan saja, baik sebagai eksportir data maupun sebagai importir data, dengan melengkapi Apendiks dan menandatangani Lampiran I.A.

(b) Setelah melengkapi Apendiks dan menandatangani Aneks I.A, entitas yang bergabung akan menjadi Pihak dalam Klausul ini dan memiliki hak serta kewajiban sebagai eksportir data atau importir data sesuai dengan penunjukannya dalam Aneks I.A.

(c) Entitas yang bergabung tidak memiliki hak atau kewajiban apa pun yang timbul berdasarkan Klausul ini untuk periode sebelum menjadi Pihak.

BAGIAN II – KEWAJIBAN PARA PIHAK

Klausul 8 Perlindungan data

Eksportir data menjamin bahwa pihaknya telah melakukan upaya yang wajar untuk memastikan bahwa importir data mampu, melalui penerapan langkah-langkah teknis dan organisasional yang sesuai, memenuhi kewajibannya berdasarkan Klausul-Klausul ini.

8.1 Instruksi

(a) Eksportir data wajib memproses data pribadi hanya berdasarkan instruksi terdokumentasi dari importir data yang bertindak sebagai pengendalinya.

(b) Eksportir data harus segera memberitahukan importir data apabila eksportir data tidak dapat mengikuti instruksi tersebut, termasuk apabila instruksi tersebut melanggar Peraturan (UE) 2016/679 atau hukum perlindungan data Uni atau Negara Anggota lainnya.

(c) Importir data harus menahan diri dari tindakan apa pun yang dapat menghalangi eksportir data dalam memenuhi kewajibannya berdasarkan Peraturan (UE) 2016/679, termasuk dalam konteks sub-pemrosesan atau terkait kerja sama dengan otoritas pengawas yang berwenang.

(d) Setelah berakhirnya penyediaan layanan pemrosesan, eksportir data wajib, atas pilihan importir data, menghapus seluruh data pribadi yang diproses atas nama importir data dan memberikan pernyataan kepada importir data bahwa hal tersebut telah dilakukan, atau mengembalikan kepada importir data seluruh data pribadi yang diproses atas namanya dan menghapus salinan yang ada.

8.2 Keamanan pemrosesan

(a) Para Pihak wajib menerapkan langkah-langkah teknis dan organisasional yang tepat untuk menjamin keamanan data, termasuk selama transmisi, serta perlindungan terhadap pelanggaran keamanan yang mengakibatkan perusakan, kehilangan, perubahan, pengungkapan atau akses tanpa izin, baik secara tidak sengaja maupun melawan hukum (selanjutnya disebut "pelanggaran data pribadi"). Dalam menilai tingkat keamanan yang sesuai, mereka harus mempertimbangkan secara saksama keadaan teknologi terkini, biaya penerapan, sifat data pribadi (2), sifat, cakupan, konteks dan tujuan pemrosesan serta risiko yang timbul dari pemrosesan bagi subjek data, dan secara khusus mempertimbangkan penggunaan enkripsi atau pseudonimisasi, termasuk selama transmisi, apabila tujuan pemrosesan dapat dipenuhi dengan cara tersebut.

(b) Eksportir data wajib membantu importir data dalam memastikan keamanan data yang sesuai sebagaimana dimaksud dalam paragraf (a). Dalam hal terjadi pelanggaran data pribadi yang menyangkut data pribadi yang diproses oleh eksportir data berdasarkan Klausul ini, eksportir data wajib memberitahukan importir data tanpa penundaan yang tidak semestinya setelah mengetahuinya dan membantu importir data dalam menangani pelanggaran tersebut.

(c) Eksportir data harus memastikan bahwa orang-orang yang diberi wewenang untuk memproses data pribadi telah mengikatkan diri pada kewajiban menjaga kerahasiaan atau tunduk pada kewajiban kerahasiaan menurut undang-undang yang sesuai.

8.3 Dokumentasi dan kepatuhan

(a) Para Pihak harus dapat menunjukkan kepatuhan terhadap Klausul-klausul ini.

(b) Eksportir data wajib menyediakan kepada importir data semua informasi yang diperlukan untuk menunjukkan kepatuhan terhadap kewajibannya berdasarkan Klausul ini serta mengizinkan dan berkontribusi pada audit.

Klausul 9 Penggunaan sub-prosesor

Tidak berlaku untuk modul yang bersangkutan dan sifat transfer.

Klausul 10 Hak subjek data

Para Pihak wajib saling membantu dalam menanggapi pertanyaan dan permintaan yang diajukan oleh subjek data berdasarkan hukum setempat yang berlaku bagi importir data atau, untuk pemrosesan data oleh eksportir data di UE, berdasarkan Peraturan (UE) 2016/679.

Klausul 11 Pemulihan

(a) Importir data harus memberitahukan kepada subjek data dalam format yang transparan dan mudah diakses, melalui pemberitahuan individual atau di situs webnya, mengenai titik kontak yang berwenang untuk menangani keluhan. Pihaknya harus segera menangani setiap keluhan yang diterimanya dari subjek data.

Klausul 12 Tanggung jawab

(a) Masing-masing Pihak bertanggung jawab kepada Pihak lain atas segala kerugian yang ditimbulkannya terhadap Pihak lain akibat pelanggaran apa pun terhadap Klausul-Klausul ini.

(b) Setiap Pihak bertanggung jawab kepada subjek data, dan subjek data berhak menerima kompensasi, atas segala kerugian material atau non-material yang ditimbulkan oleh Pihak tersebut terhadap subjek data akibat pelanggaran hak penerima manfaat pihak ketiga berdasarkan Klausul ini. Hal ini tidak mengurangi tanggung jawab eksportir data berdasarkan Peraturan (UE) 2016/679.

(c) Jika lebih dari satu Pihak bertanggung jawab atas kerugian apa pun yang ditimbulkan terhadap subjek data sebagai akibat dari pelanggaran Klausul-Klausul ini, semua Pihak yang bertanggung jawab wajib bertanggung jawab secara bersama-sama dan sendiri-sendiri (tanggung renteng) dan subjek data berhak mengajukan gugatan ke pengadilan terhadap salah satu dari Pihak-Pihak tersebut.

(d) Para Pihak sepakat bahwa jika salah satu Pihak dinyatakan bertanggung jawab berdasarkan paragraf (c), Pihak tersebut berhak menuntut kembali dari Pihak/Para Pihak lainnya bagian dari kompensasi yang sesuai dengan tanggung jawabnya/tanggung jawab mereka atas kerugian tersebut.

(e) Importir data tidak boleh menjadikan tindakan pemroses atau sub-pemroses sebagai dalih untuk menghindari tanggung jawabnya sendiri.

Klausul 13 Pengawasan

Tidak berlaku untuk modul yang bersangkutan dan sifat transfer tersebut.

BAGIAN III – HUKUM SETEMPAT DAN KEWAJIBAN DALAM HAL AKSES OLEH OTORITAS PUBLIK

Klausul 14 Hukum dan praktik lokal yang memengaruhi kepatuhan terhadap Klausul

MODUL EMPAT: Transfer prosesor ke pengendali (di mana prosesor UE menggabungkan data pribadi yang diterima dari pengendali negara ketiga dengan data pribadi yang dikumpulkan oleh prosesor di UE)

(a) Para Pihak menjamin bahwa mereka tidak memiliki alasan untuk meyakini bahwa hukum dan praktik di negara ketiga tujuan yang berlaku terhadap pemrosesan data pribadi oleh importir data, termasuk persyaratan apa pun untuk mengungkapkan data pribadi atau tindakan yang mengizinkan akses oleh otoritas publik, menghalangi importir data untuk memenuhi kewajibannya berdasarkan Klausul ini. Hal ini didasarkan pada pemahaman bahwa hukum dan praktik yang menghormati esensi hak dan kebebasan fundamental serta tidak melampaui apa yang diperlukan dan proporsional dalam suatu masyarakat demokratis untuk melindungi salah satu tujuan yang tercantum dalam Pasal 23(1) Regulasi (EU) 2016/679, tidak bertentangan dengan Klausul-Klausul ini.

(b) Para Pihak menyatakan bahwa dalam memberikan jaminan dalam paragraf (a), mereka telah mempertimbangkan secara saksama, khususnya, elemen-elemen berikut:

(i) keadaan spesifik dari transfer tersebut, termasuk panjang rantai pemrosesan, jumlah pihak yang terlibat dan saluran transmisi yang digunakan; transfer lanjutan yang dimaksudkan; jenis penerima; tujuan pemrosesan; kategori dan format data pribadi yang ditransfer; sektor ekonomi tempat transfer tersebut terjadi; lokasi penyimpanan data yang ditransfer;

(ii) hukum dan praktik negara ketiga tujuan – termasuk yang mewajibkan pengungkapan data kepada otoritas publik atau mengizinkan akses oleh otoritas tersebut – yang relevan mengingat keadaan khusus transfer, serta batasan dan pengamanan yang berlaku (3);

(iii) segala pengamanan kontraktual, teknis, atau organisasi yang relevan yang diterapkan untuk melengkapi pengamanan berdasarkan Klausul ini, termasuk langkah-langkah yang diterapkan selama pengiriman dan terhadap pemrosesan data pribadi di negara tujuan.

(c) Importir data menjamin bahwa, dalam melaksanakan penilaian berdasarkan paragraf (b), ia telah melakukan upaya terbaiknya untuk memberikan informasi yang relevan kepada eksportir data dan setuju bahwa ia akan terus bekerja sama dengan eksportir data dalam memastikan kepatuhan terhadap Klausul-Klausul ini.

(d) Para Pihak sepakat untuk mendokumentasikan penilaian berdasarkan paragraf (b) dan menyediakannya kepada otoritas pengawas yang berwenang atas permintaan.

(e) Importir data setuju untuk segera memberitahu eksportir data apabila, setelah menyetujui Klausul-Klausul ini dan selama jangka waktu kontrak, importir data memiliki alasan untuk meyakini bahwa dirinya tunduk atau telah menjadi tunduk pada hukum atau praktik yang tidak sejalan dengan persyaratan berdasarkan paragraf (a), termasuk setelah adanya perubahan dalam hukum negara ketiga atau suatu tindakan (seperti permintaan pengungkapan) yang menunjukkan aplikasi hukum tersebut dalam praktiknya yang tidak sejalan dengan persyaratan dalam paragraf (a).

(f) Setelah pemberitahuan sesuai dengan paragraf (e), atau jika eksportir data memiliki alasan untuk meyakini bahwa importir data tidak lagi dapat memenuhi kewajibannya berdasarkan Klausul ini, eksportir data harus segera mengidentifikasi langkah-langkah yang sesuai (misalnya langkah teknis atau organisasi untuk memastikan keamanan dan kerahasiaan) yang harus diterapkan oleh eksportir data dan/atau importir data untuk mengatasi situasi tersebut. Pengekspor data harus menangguhkan transfer data apabila pengekspor data menganggap bahwa tidak ada perlindungan yang memadai untuk transfer tersebut yang dapat dipastikan, atau apabila diperintahkan untuk melakukannya oleh otoritas pengawas yang berwenang. Dalam hal ini, eksportir data berhak untuk mengakhiri kontrak, sejauh hal tersebut menyangkut pemrosesan data pribadi berdasarkan Klausul ini. Jika kontrak melibatkan lebih dari dua Pihak, eksportir data hanya dapat menggunakan hak pengakhiran ini terhadap Pihak terkait, kecuali para Pihak telah menyepakati lain. Apabila kontrak diakhiri berdasarkan Klausul ini, Klausul 16(d) dan (e) berlaku.

Klausul 15 Kewajiban importir data dalam hal akses oleh otoritas publik

MODUL EMPAT: Transfer prosesor ke pengendali (di mana prosesor UE menggabungkan data pribadi yang diterima dari pengendali negara ketiga dengan data pribadi yang dikumpulkan oleh prosesor tersebut di UE)

15.1 Pemberitahuan

(a) Importir data setuju untuk memberitahukan eksportir data dan, jika memungkinkan, subjek data dengan segera (jika perlu dengan bantuan eksportir data) jika importir data:

(i) menerima permintaan yang mengikat secara hukum dari otoritas publik, termasuk otoritas yudisial, berdasarkan hukum negara tujuan untuk pengungkapan data pribadi yang ditransfer sesuai dengan Klausul ini; pemberitahuan tersebut harus mencakup informasi tentang data pribadi yang diminta, otoritas yang mengajukan permintaan, dasar hukum permintaan tersebut, dan tanggapan yang diberikan; atau

(ii) mengetahui adanya akses langsung oleh otoritas publik terhadap data pribadi yang ditransfer berdasarkan Klausul ini sesuai dengan hukum negara tujuan; pemberitahuan tersebut harus mencakup semua informasi yang tersedia bagi importir.

(b) Jika importir data dilarang memberitahukan eksportir data dan/atau subjek data berdasarkan hukum negara tujuan, importir data setuju untuk melakukan upaya terbaiknya guna memperoleh pengecualian atas larangan tersebut, dengan tujuan menyampaikan sebanyak mungkin informasi, sesegera mungkin. Pengimpor data setuju untuk mendokumentasikan upaya terbaiknya agar dapat menunjukkannya atas permintaan pengekspor data.

(c) Sepanjang diizinkan berdasarkan hukum negara tujuan, importir data setuju untuk memberikan kepada eksportir data, secara berkala selama jangka waktu kontrak, informasi relevan sebanyak mungkin mengenai permintaan yang diterima (khususnya, jumlah permintaan, jenis data yang diminta, otoritas yang mengajukan permintaan, apakah permintaan tersebut telah digugat serta hasil dari gugatan tersebut, dan lain-lain).

(d) Importir data setuju untuk menyimpan informasi sesuai dengan paragraf (a) sampai (c) selama jangka waktu kontrak dan menyediakannya bagi otoritas pengawas yang berwenang berdasarkan permintaan.

(e) Paragraf (a) sampai (c) tidak mengurangi kewajiban importir data sesuai dengan Klausul 14(e) dan Klausul 16 untuk segera memberitahukan eksportir data jika importir data tidak dapat mematuhi Klausul-Klausul ini.

15.2 Tinjauan legalitas dan minimisasi data

(a) Importir data setuju untuk meninjau legalitas permintaan pengungkapan, khususnya apakah permintaan tersebut masih berada dalam lingkup kewenangan yang diberikan kepada otoritas publik yang mengajukan permintaan, dan untuk menggugat permintaan tersebut jika, setelah penilaian yang cermat, importir data menyimpulkan bahwa terdapat alasan yang wajar untuk menganggap bahwa permintaan tersebut tidak sah menurut hukum negara tujuan, kewajiban yang berlaku berdasarkan hukum internasional, dan prinsip-prinsip kesantunan internasional (international comity). Importir data harus, dengan ketentuan yang sama, menempuh kemungkinan upaya banding. Ketika mengajukan keberatan terhadap suatu permintaan, importir data wajib mengupayakan tindakan sementara dengan tujuan menangguhkan dampak permintaan tersebut sampai otoritas yudisial yang berwenang memutuskan pokok perkaranya. Pihaknya tidak boleh mengungkapkan data pribadi yang diminta sampai diwajibkan untuk melakukannya berdasarkan aturan prosedural yang berlaku. Persyaratan ini tidak mengurangi kewajiban importir data berdasarkan Klausul 14(e).

(b) Importir data setuju untuk mendokumentasikan penilaian hukumnya dan setiap sanggahan terhadap permintaan pengungkapan tersebut dan, sejauh diizinkan menurut hukum negara tujuan, menyediakan dokumentasi tersebut bagi eksportir data. Pihak tersebut juga harus menyediakannya bagi otoritas pengawas yang berwenang atas permintaan.

(c) Importir data setuju untuk memberikan jumlah informasi minimum yang diizinkan saat menanggapi permintaan pengungkapan, berdasarkan interpretasi yang wajar atas permintaan tersebut.

BAGIAN IV – KETENTUAN AKHIR

Klausul 16 Ketidakpatuhan terhadap Klausul dan pengakhiran

(a) Importir data wajib segera memberi tahu eksportir data apabila importir data tidak dapat mematuhi Klausul-Klausul ini, dengan alasan apa pun.

(b) Dalam hal importir data melanggar Klausul ini atau tidak dapat mematuhi Klausul ini, eksportir data harus menangguhkan transfer data pribadi kepada importir data sampai kepatuhan kembali terjamin atau kontrak diakhiri. Hal ini tidak mengurangi ketentuan Klausul 14(f).

(c) Eksportir data berhak mengakhiri kontrak, sejauh hal itu menyangkut pemrosesan data pribadi berdasarkan Klausul ini, apabila:

(i) eksportir data telah menangguhkan transfer data pribadi kepada importir data sesuai dengan paragraf (b) dan kepatuhan terhadap Klausul ini tidak dipulihkan dalam waktu yang wajar dan dalam hal apa pun dalam waktu satu bulan sejak penangguhan;

(ii) importir data melakukan pelanggaran substansial atau terus-menerus terhadap Klausul ini; atau

(iii) importir data gagal mematuhi keputusan mengikat dari pengadilan atau otoritas pengawas yang berwenang mengenai kewajibannya berdasarkan Klausul ini.

Dalam kasus-kasus tersebut, pihaknya harus memberitahukan ketidakpatuhan tersebut kepada otoritas pengawas yang berwenang. Jika kontrak melibatkan lebih dari dua Pihak, eksportir data hanya dapat menggunakan hak pengakhiran ini terhadap Pihak terkait, kecuali para Pihak telah menyepakati lain.

(d) Data pribadi yang dikumpulkan oleh pengekspor data di UE yang telah ditransfer sebelum pengakhiran kontrak sesuai dengan paragraf (c) harus segera dihapus seluruhnya, termasuk salinannya. Importir data wajib menyatakan penghapusan data tersebut kepada eksportir data. Sampai data dihapus atau dikembalikan, importir data harus terus memastikan kepatuhan terhadap Klausul ini. Dalam hal hukum setempat yang berlaku bagi importir data melarang pengembalian atau penghapusan data pribadi yang ditransfer, importir data menjamin bahwa pihaknya akan terus memastikan kepatuhan terhadap Klausul-Klausul ini dan hanya akan memproses data tersebut sejauh dan selama diwajibkan berdasarkan hukum setempat tersebut.

(e) Salah satu Pihak dapat mencabut persetujuannya untuk terikat oleh Klausul-klausul ini apabila (i) Komisi Eropa mengadopsi suatu keputusan berdasarkan Pasal 45(3) Peraturan (UE) 2016/679 yang mencakup transfer data pribadi yang tunduk pada Klausul-klausul ini; atau (ii) Peraturan (UE) 2016/679 menjadi bagian dari kerangka hukum negara tempat data pribadi tersebut ditransfer. Hal ini tidak mengurangi kewajiban lain yang berlaku terhadap pemrosesan dimaksud berdasarkan Regulasi (UE) 2016/679.

Klausul 17 Undang-undang yang Mengatur

Klausul-klausul ini diatur oleh hukum negara yang mengakui hak penerima manfaat pihak ketiga. Para Pihak sepakat bahwa hukum yang berlaku adalah hukum Republik Slovakia.

Klausul 18 Pilihan forum dan yurisdiksi

Setiap sengketa yang timbul dari Klausul-klausul ini akan diselesaikan oleh pengadilan Republik Slovakia.

LAMPIRAN

LAMPIRAN I

A. DAFTAR PIHAK

Eksportir data: Eksportir data adalah ESET (ditentukan dalam Ketentuan) sebagai Pemroses berdasarkan Perjanjian Pemrosesan Data.

Importir data: Pengimpor data adalah Anda (sebagaimana ditentukan dalam Ketentuan) jika Anda adalah Pengendali berdasarkan Perjanjian Pemrosesan Data.

B. DESKRIPSI TRANSFER

Kategori subjek data yang data pribadinya ditransfer: Sebagaimana didefinisikan dalam Kebijakan Privasi dan/atau Perjanjian Pemrosesan Data.

Kategori data pribadi yang ditransfer: Sebagaimana didefinisikan dalam Kebijakan Privasi dan/atau Perjanjian Pemrosesan Data.

Data sensitif yang ditransfer (jika berlaku) serta pembatasan atau perlindungan yang diterapkan yang sepenuhnya mempertimbangkan sifat data dan risiko yang terlibat, seperti misalnya pembatasan tujuan yang ketat, pembatasan akses (termasuk akses hanya bagi staf yang telah mengikuti pelatihan khusus), pencatatan akses ke data, pembatasan untuk transfer lanjutan, atau langkah-langkah keamanan tambahan: Sebagaimana didefinisikan dalam Kebijakan Privasi dan/atau Perjanjian Pemrosesan Data.

Frekuensi transfer (mis. apakah data ditransfer secara sekali saja atau berkelanjutan): Secara berkelanjutan.

Sifat pemrosesan: Otomatis.

Tujuan transfer data dan pemrosesan lebih lanjut: Penyediaan Layanan dalam konteks pembelian atau perolehan Langganan sebagaimana didefinisikan dalam Ketentuan dan ditentukan dalam Lampiran, Kebijakan Privasi, serta Dokumentasinya.

Jangka waktu penyimpanan data pribadi, atau, jika hal tersebut tidak memungkinkan, kriteria yang digunakan untuk menentukan jangka waktu tersebut: Sebagaimana didefinisikan dalam Kebijakan Privasi dan/atau Perjanjian Pemrosesan Data.

Referensi

(1) Apabila eksportir data merupakan pemroses yang tunduk pada Regulasi (UE) 2016/679 yang bertindak atas nama suatu institusi atau badan Uni Eropa sebagai pengendali, penggunaan Klausul-Klausul ini ketika melibatkan pemroses lain (sub-pemrosesan) yang tidak tunduk pada Regulasi (UE) 2016/679 juga memastikan kepatuhan terhadap Pasal 29(4) Regulasi (UE) 2018/1725 Parlemen Eropa dan Dewan tanggal 23 Oktober 2018 tentang perlindungan orang perseorangan sehubungan dengan pemrosesan data pribadi oleh institusi, badan, kantor, dan agensi Uni Eropa serta tentang pergerakan bebas data tersebut, dan mencabut Regulasi (EC) No 45/2001 dan Keputusan No 1247/2002/EC (OJ L 295, 21.11.2018, hlm. 39), sepanjang Klausul-Klausul ini dan kewajiban perlindungan data sebagaimana ditetapkan dalam kontrak atau tindakan hukum lain antara pengendali dan pemroses berdasarkan Pasal 29(3) Regulasi (UE) 2018/1725 selaras satu sama lain. Hal ini khususnya berlaku apabila pengendali dan pemroses mengandalkan klausul kontraktual standar yang tercantum dalam Keputusan 2021/915.

(2) Hal ini mencakup apakah transfer dan pemrosesan lebih lanjut melibatkan data pribadi yang mengungkapkan asal ras atau etnis, opini politik, keyakinan agama atau filosofis, atau keanggotaan serikat pekerja, data genetik atau data biometrik untuk tujuan mengidentifikasi secara unik seseorang individu, data mengenai kesehatan atau kehidupan seks atau orientasi seksual seseorang, atau data yang berkaitan dengan hukuman pidana atau tindak pidana.

(3) Sehubungan dengan dampak undang-undang dan praktik tersebut terhadap kepatuhan terhadap Klausul ini, berbagai elemen dapat dipertimbangkan sebagai bagian dari penilaian menyeluruh. Unsur-unsur tersebut dapat mencakup pengalaman praktis yang relevan dan terdokumentasi terkait permintaan pengungkapan sebelumnya dari otoritas publik, atau ketiadaan permintaan semacam itu, yang mencakup kerangka waktu yang cukup representatif. Hal ini merujuk khususnya pada catatan internal atau dokumentasi lain, yang disusun secara berkelanjutan sesuai dengan uji tuntas dan disahkan pada tingkat manajemen senior, sepanjang informasi tersebut dapat dibagikan secara sah kepada pihak ketiga. Apabila pengalaman praktis ini dijadikan dasar untuk menyimpulkan bahwa importir data tidak akan terhalang untuk mematuhi Klausul-klausul ini, pengalaman tersebut perlu didukung oleh elemen-elemen relevan dan objektif lainnya, dan merupakan tanggung jawab Para Pihak untuk mempertimbangkan secara cermat apakah elemen-elemen tersebut secara bersama-sama memiliki bobot yang memadai, dari segi keandalan dan keterwakilannya, untuk mendukung kesimpulan ini. Secara khusus, Para Pihak harus mempertimbangkan apakah pengalaman praktis mereka didukung dan tidak dibantah oleh informasi andal yang tersedia untuk umum atau yang dapat diakses dengan cara lain mengenai ada atau tidaknya permintaan dalam sektor yang sama dan/atau aplikasi hukum dalam praktik, seperti yurisprudensi dan laporan dari badan pengawas independen.