Data Processing Agreement (DPA) B2B Hospitality

Terakhir diperbarui: 10 November 2026 • Kepatuhan Terhadap UU No. 27 Tahun 2022 (UU PDP) & GDPR

1. Definisi dan Hubungan Hukum Para Pihak

Perjanjian Pemrosesan Data Pribadi (*Data Processing Agreement* / DPA) ini merupakan bagian tidak terpisahkan dari Syarat Layanan B2B SaaS Balian HRIS antara Klien Venue Hospitality (Pengendali Data Pribadi) dan PT Balian Teknologi Hospitality (Prosesor Data Pribadi).

Pengendali Data: Bertanggung jawab memastikan keabsahan dasar hukum pengumpulan data pribadi karyawan (persetujuan sadar karyawan atau pemenuhan perjanjian kerja PKWT/PKWTT) dan kepatuhan terhadap perundang-undangan ketenagakerjaan.
Prosesor Data: Memproses data semata-mata berdasarkan instruksi terdokumentasi dari Pengendali Data guna menyediakan fitur presensi geofence, kalkulasi service charge, dan ekspor payroll KlikBCA/Mandiri.

2. Ruang Lingkup dan Jenis Data Pribadi

Data pribadi yang diproses meliputi:

Data Pribadi Spesifik: Foto biometrik wajah selfie saat presensi (reticle Face ID), titik koordinat geospasial WGS84, dan rincian rekening bank staf.
Data Pribadi Umum: Nama karyawan, NIK, jabatan, status kepegawaian (FOH/BOH/Daily Worker), riwayat jam kehadiran, dan data cuti upacara adat Bali.

3. Kewajiban Keamanan Teknis dan Organisasional (Pasal 35 UU PDP)

Prosesor Data berkomitmen menerapkan standar keamanan mutakhir:

Enkripsi: TLS 1.3 untuk seluruh komunikasi data in-transit, dan enkripsi AES-256 untuk penyimpanan data kredensial bank dan ledger payroll at-rest.
Kontrol Akses Terisolasi: Penerapan Role-Based Access Control (RBAC) ketat; data venue diisolasi secara multi-tenant sehingga tidak dapat diakses oleh venue lain.
Kebijakan Retensi Foto 60 Hari: Berkas foto selfie presensi dihapus permanen secara otomatis setelah 60 hari kalender.

4. Protokol Notifikasi Insiden Kebocoran Data 72 Jam (Pasal 46 UU PDP)

Kewajiban Notifikasi 3 x 24 Jam: Apabila terdeteksi insiden kegagalan pelindungan data pribadi (*data breach*) yang memengaruhi sistem Balian HRIS, Prosesor Data wajib memberitahukan secara tertulis kepada Pengendali Data dalam waktu maksimal 3 x 24 jam (72 jam) sejak insiden terkonfirmasi, disertai rincian data yang terdampak, langkah penanggulangan darurat yang telah diambil, dan rekomendasi mitigasi.

5. Pemenuhan Hak Subjek Data (Karyawan Venue)

Prosesor Data menyediakan alat teknis terintegrasi bagi Pengendali Data untuk memenuhi hak-hak karyawan sesuai Bab IV UU PDP, meliputi:

Ekspor portabilitas data pribadi karyawan dalam format terbuka (JSON/CSV) melalui Pusat Privasi aplikasi.
Koreksi data kehadiran dan penyesuaian nomor rekening.
Penghapusan data (*right to erasure*) setelah masa kerja karyawan berakhir.

6. Lokasi Penyimpanan Data & Kedaulatan Data Sovereign Lokal

Seluruh basis data operasional, rekapitulasi kehadiran, dan catatan payroll disimpan pada infrastruktur komputasi awan yang memenuhi standar kedaulatan data hukum Indonesia, dengan replikasi cadangan (*backup*) berkala yang terenkripsi penuh.

7. Audit & Bukti Kepatuhan

Prosesor Data bersedia menyediakan dokumentasi ringkasan keamanan, sertifikasi arsitektur, dan laporan kepatuhan sistem berkala apabila diminta secara wajar oleh auditor Pengendali Data untuk kepentingan pemenuhan audit kepatuhan korporasi hospitality.