Terakhir diperbarui: 15 September 2026. Versi ini menggantikan versi yang terakhir diperbarui pada 31 Juli 2026.

Addendum Pemrosesan Data (“DPA”) ini adalah perjanjian antara Anda dan entitas yang Anda wakili (“Pelanggan”, “Anda” atau “milik Anda”) dan Mapsly LLC (“MAPSLY”). DPA ini melengkapi Ketentuan Layanan MAPSLY yang tersedia di https://mapsly.com/terms, sebagaimana diperbarui dari waktu ke waktu antara Pelanggan dan MAPSLY, atau perjanjian lain antara Pelanggan dan MAPSLY yang mengatur penggunaan Layanan MAPSLY oleh Pelanggan (“Perjanjian”). “Pelanggan” merujuk pada entitas yang didefinisikan sebagai “Pengguna” berdasarkan Ketentuan Layanan MAPSLY. DPA ini berlaku sejauh MAPSLY memproses Data Pelanggan atas nama Pelanggan dalam menyediakan Layanan.

Definisi. Semua istilah yang diawali huruf kapital yang digunakan dalam DPA ini akan memiliki makna yang diberikan kepada istilah tersebut di bawah ini, kecuali jika didefinisikan lain dalam Perjanjian:

API berarti antarmuka pemrograman aplikasi.

Undang-Undang Perlindungan Data yang Berlaku berarti semua hukum dan peraturan yang berlaku dan mengikat atas pemrosesan Data Pelanggan oleh suatu pihak, termasuk, sebagaimana berlaku, GDPR, UK GDPR dan UK Data Protection Act 2018, Undang-Undang Federal Swiss tentang Perlindungan Data (“FADP”), dan hukum privasi federal dan negara bagian Amerika Serikat yang berlaku (termasuk California Consumer Privacy Act, sebagaimana telah diubah).

Aturan Perusahaan yang Mengikat memiliki makna yang diberikan kepadanya dalam GDPR.

Pengontrol memiliki makna yang diberikan kepadanya dalam GDPR.

Klausul Pengendali Data-ke-Pemroses Data bermakna klausul kontraktual standar antara Pengendali dan Pemroses untuk Transfer Data, sebagaimana disetujui oleh Keputusan Pelaksanaan Komisi Eropa (UE) 2021/914 tanggal 4 Juni 2021.

Data Pelanggan berarti Data Pribadi yang diunggah ke atau dihasilkan dalam Layanan pada akun MAPSLY milik Pelanggan, tidak termasuk akun Pengguna Akhir dan informasi penggunaan yang dijelaskan dalam Bagian 1.5.

“Kerangka Privasi Data” atau “DPF” berarti, secara bersama-sama, Kerangka Privasi Data UE-AS, Ekstensi Inggris Raya untuk Kerangka Privasi Data UE-AS, dan Kerangka Privasi Data Swiss-AS, sebagaimana dikelola oleh Departemen Perdagangan AS.

Dokumentasi berarti dokumentasi saat ini untuk Layanan yang terletak di https://help.mapsly.com (dan lokasi penerus mana pun yang ditunjuk oleh MAPSLY).

EEA berarti Wilayah Ekonomi Eropa.

Pengguna Akhir berarti pengguna akun Mapsly Pelanggan termasuk karyawan dan kontraktor Pelanggan yang ditugaskan oleh Pelanggan untuk menggunakan Mapsly.

GDPR bermaksud Peraturan 2016/679 Parlemen Eropa dan Dewan tanggal 27 April 2016 tentang perlindungan individu terkait dengan pemrosesan data pribadi dan tentang pergerakan bebas data tersebut, serta mencabut Arahan 95/46/EC (Peraturan Perlindungan Data Umum).

Jaringan MAPSLY berarti server, peralatan jaringan, dan sistem perangkat lunak host (misalnya, firewall virtual) yang berada di bawah kendali MAPSLY dan digunakan untuk menyediakan Layanan.

Konsol penyiapan MAPSLY berarti bagian Pengaturan di layanan Mapsly yang tersedia di bawah “Pengaturan” di menu utama.

Data Pribadi berarti data pribadi, informasi pribadi, informasi yang dapat diidentifikasi secara pribadi atau istilah setara lainnya (masing-masing sesuai definisi dalam Undang-Undang Perlindungan Data yang Berlaku).

Memproses memiliki arti sebagaimana diberikan dalam GDPR dan “proses”, “memproses”, dan “diproses” akan diartikan sesuai.

Prosesor memiliki makna yang diberikan kepadanya dalam GDPR.

Klausul Processor ke Processor berarti klausul kontraktual standar antara Pemroses untuk Transfer Data, sebagaimana disetujui oleh Keputusan Pelaksanaan Komisi Eropa (EU) 2021/914 tanggal 4 Juni 2021.

Insiden Keamanan berarti pelanggaran keamanan MAPSLY yang mengakibatkan penghancuran, kehilangan, perubahan yang tidak disengaja atau melanggar hukum, pengungkapan tidak sah, atau akses ke Data Pelanggan.

Kontrol Layanan berarti kontrol, termasuk fitur keamanan dan fungsi, yang disediakan oleh Layanan, seperti dijelaskan dalam Dokumentasi.

Klausul Kontrak Standar berarti (i) Klausul Pengendali-ke-Pemroses, atau (ii) Klausul Pemroses-ke-Pemroses, sebagaimana berlaku sesuai dengan Bagian 9.2.1 dan 9.2.2, sebagaimana dilengkapi, jika berlaku, oleh Adendum UK (untuk Transfer Data yang tunduk pada UK GDPR) dan oleh adaptasi Swiss yang dijelaskan dalam Bagian 9.2.4 (untuk Transfer Data yang tunduk pada FADP).,

Negara Ketiga berarti suatu negara di luar EEA, Inggris Raya, atau Swiss yang tidak diakui oleh Komisi Eropa (atau, sebagaimana berlaku, oleh otoritas Inggris Raya atau Swiss yang berwenang) sebagai menyediakan tingkat perlindungan yang memadai untuk data pribadi (sebagaimana dijelaskan dalam GDPR, UK GDPR, atau FADP, sebagaimana berlaku).

Adendum Inggris Raya berarti Adendum Transfer Data Internasional pada Klausul Kontrak Standar Komisi UE yang diterbitkan oleh Komisioner Informasi Inggris Raya, berlaku sejak 21 Maret 2022.

UK GDPR berarti GDPR sebagaimana menjadi bagian dari hukum Britania Raya berdasarkan pasal 3 Undang-Undang Uni Eropa (Penarikan) 2018.

1. Pemrosesan Data

1.1 Cakupan dan Peran. DPA ini berlaku ketika MAPSLY memproses Data Pelanggan. Dalam konteks ini, MAPSLY akan bertindak sebagai Pemroses untuk Pelanggan, yang dapat bertindak sebagai Pengendali atau Pemroses Data Pelanggan.

1.2 Kontrol Pelanggan. Pelanggan dapat menggunakan Kontrol Layanan untuk membantu memenuhi kewajibannya berdasarkan Hukum Perlindungan Data yang Berlaku, termasuk kewajibannya untuk menanggapi permintaan dari subjek data. Dengan mempertimbangkan sifat pemrosesan, Pelanggan setuju bahwa kecil kemungkinannya MAPSLY akan mengetahui bahwa Data Pelanggan yang ditransfer berdasarkan Klausul Kontrak Standar tidak akurat atau sudah usang. Namun demikian, jika MAPSLY mengetahui bahwa Data Pelanggan yang ditransfer berdasarkan Klausul Kontrak Standar tidak akurat atau sudah usang, MAPSLY akan segera memberitahukan Pelanggan tanpa penundaan yang tidak semestinya. MAPSLY akan bekerja sama dengan Pelanggan untuk menghapus atau memperbaiki Data Pelanggan yang tidak akurat atau sudah usang yang ditransfer berdasarkan Klausul Kontrak Standar dengan menyediakan Kontrol Layanan yang dapat digunakan Pelanggan untuk menghapus atau memperbaiki Data Pelanggan.

1.3 Detail Pemrosesan Data.

1.3.1 Pokok bahasan. Subjek dari pemrosesan data berdasarkan DPA ini adalah Data Pelanggan.

1.3.2 Durasi. Pemrosesan berlanjut selama Jangka Waktu Perjanjian dan setelahnya selama periode terbatas yang diperlukan untuk mengembalikan, menghapus, atau secara sah menyimpan Data Pelanggan sesuai dengan Bagian 11.

1.3.3 Tujuan. Tujuan pemrosesan data berdasarkan DPA ini adalah penyediaan Layanan yang dimulai oleh Pelanggan dari waktu ke waktu.

1.3.4 Sifat pemrosesan. Komputasi, penyimpanan, geocoding, routing, sinkronisasi dengan sistem terhubung milik Pelanggan, dan Layanan lainnya sebagaimana dijelaskan dalam Dokumentasi dan dimulai oleh Pelanggan dari waktu ke waktu, termasuk, apabila Pelanggan menggunakan fitur Layanan berbasis AI, pemrosesan oleh penyedia model AI yang ditunjuk sebagai Sub-pemroses semata-mata untuk menyediakan Layanan kepada Pelanggan. MAPSLY tidak menggunakan Data Pelanggan untuk melatih model kecerdasan buatan umum atau model pembelajaran mesin. Apabila Pelanggan memilih untuk menghubungkan akun penyedia AI atau kredensial API yang dikendalikan oleh Pelanggan, MAPSLY dapat mengirimkan Data Pelanggan kepada penyedia tersebut berdasarkan Instruksi Terdokumentasi Pelanggan; penyedia tersebut bukan merupakan Sub-pemroses yang ditunjuk oleh MAPSLY semata-mata karena koneksi tersebut, dan Pelanggan bertanggung jawab atas perjanjian serta ketentuan pemrosesan data dengan penyedia tersebut. MAPSLY tetap bertanggung jawab atas pengirimannya sendiri atas Data Pelanggan kepada penyedia tersebut sesuai dengan DPA ini.

1.3.5 Jenis Data Pelanggan. Data Pelanggan yang diunggah ke atau dihasilkan dalam Layanan di bawah akun MAPSLY milik Pelanggan, yang dapat mencakup catatan kontak dan CRM, alamat dan data lokasi lainnya (termasuk geolokasi presisi Pengguna Akhir ketika Pelanggan mengaktifkan pelacakan lokasi, check-in, atau fitur serupa), foto, catatan, tanggapan formulir, rekaman audio dan video serta transkrip, prompt AI, keluaran dan ringkasan yang dihasilkan AI (ketika Pelanggan menggunakan fitur suara atau berbasis AI), serta data otomatisasi dan aktivitas.

1.3.6 Kategori subjek data. Subjek data dapat mencakup pelanggan Pelanggan, prospek dan leads, karyawan, pemasok, dan Pengguna Akhir.

1.4 Kepatuhan terhadap Hukum. Setiap pihak akan mematuhi semua undang-undang, aturan, dan peraturan yang berlaku dan mengikat baginya dalam pelaksanaan DPA ini, termasuk Undang-Undang Perlindungan Data yang Berlaku.

1.5 Mapsly sebagai Pengendali. Pelanggan mengakui bahwa Mapsly mengumpulkan informasi tertentu tentang Pengguna Akhir Pelanggan — seperti informasi akun, autentikasi, penagihan, dukungan, dan penggunaan — sebagaimana dijelaskan dalam Kebijakan Privasi MAPSLY (saat ini dipublikasikan di, https://mapsly.com/privacy-policy). Sejauh Mapsly menentukan tujuan dan cara pemrosesan informasi tersebut, Mapsly bertindak sebagai Controller independen atas informasi tersebut dan memprosesnya sesuai dengan MAPSLY Privacy Policy dan Applicable Data Protection Law; informasi tersebut bukan Customer Data yang diproses berdasarkan DPA ini. Mapsly dapat mengungkapkan informasi tersebut secara internal dan kepada penyedia layanannya untuk tujuan bisnis yang sah terkait pengoperasian, dukungan, dan peningkatan Services, seperti penagihan, pengelolaan akun, dukungan teknis, dan pengembangan produk.

2. Instruksi Pelanggan

The parties agree that this DPA and the Agreement (including Customer providing instructions via configuration tools such as the MAPSLY Setup console and APIs made available by MAPSLY for the Services) constitute Customer’s documented instructions regarding MAPSLY’s processing of Customer Data (“Documented Instructions”). MAPSLY will process Customer Data only in accordance with Documented Instructions (which if Customer is acting as a Processor, could be based on the instructions of its Controllers). Additional instructions outside the scope of the Documented Instructions (if any) require prior written agreement between MAPSLY and Customer, including agreement on any additional fees payable by Customer to MAPSLY for carrying out such instructions. Where an additional instruction is required for Customer’s compliance with Applicable Data Protection Law and the parties are unable, within thirty (30) days, to reasonably agree on its implementation and any applicable fees, Customer may terminate the affected Services by written notice, and MAPSLY will refund Customer the prepaid fees prorated for the unused portion of the then-current Billing Period for the terminated Services. Taking into account the nature of the processing, Customer agrees that it is unlikely MAPSLY can form an opinion on whether Documented Instructions infringe Applicable Data Protection Law. If MAPSLY forms such an opinion, it will immediately inform Customer, in which case, Customer is entitled to withdraw or modify its Documented Instructions.

3. Kerahasiaan Data Pelanggan

MAPSLY tidak akan mengakses atau menggunakan, atau mengungkapkan data Pelanggan kepada pihak ketiga manapun, kecuali dalam setiap kasus, jika diperlukan untuk memelihara atau menyediakan Layanan, atau jika diperlukan untuk mematuhi hukum atau perintah yang sah dan mengikat dari badan pemerintah (seperti surat perintah pengadilan atau subpoena). Jika badan pemerintah mengirimkan permintaan data Pelanggan ke MAPSLY, MAPSLY akan mencoba mengarahkan badan pemerintah tersebut untuk meminta data langsung dari Pelanggan. Sebagai bagian dari upaya ini, MAPSLY dapat memberikan informasi kontak dasar Pelanggan kepada badan pemerintah. Jika dipaksa untuk mengungkapkan data Pelanggan kepada badan pemerintah, maka MAPSLY akan memberi pemberitahuan wajar kepada Pelanggan tentang permintaan tersebut agar Pelanggan dapat mencari perintah perlindungan atau upaya hukum lain yang sesuai kecuali MAPSLY secara hukum dilarang melakukannya.

4. Kewajiban Kerahasiaan Personel MAPSLY

MAPSLY membatasi personelnya dari memproses Data Pelanggan tanpa otorisasi dari MAPSLY. MAPSLY memberlakukan kewajiban kontraktual yang sesuai kepada personelnya, termasuk kewajiban yang relevan mengenai kerahasiaan, perlindungan data, dan keamanan data.

5. Keamanan Pemrosesan Data

5.1 MAPSLY telah menerapkan dan akan mempertahankan langkah-langkah teknis dan organisasi yang sesuai untuk memastikan keamanan dan kerahasiaan Data Pelanggan, sebagaimana dijelaskan dalam Lampiran A (Langkah-Langkah Teknis dan Organisasi) pada DPA ini dan sesuai dengan standar keamanan Mapsly yang dijelaskan dalam DPA ini dan dalam Kebijakan Privasi MAPSLY. MAPSLY dapat memperbarui langkah-langkah yang dijelaskan dalam Lampiran A dari waktu ke waktu, asalkan tidak ada pembaruan yang secara material mengurangi keamanan keseluruhan Layanan.

5.2 Tanggung Jawab Pelanggan dan Fitur Keamanan Opsional. MAPSLY menyediakan banyak Kontrol Layanan yang dapat dipilih oleh Pelanggan untuk lebih memperkuat keamanan Data Pelanggan. Pelanggan bertanggung jawab untuk (a) penggunaan Layanan secara aman, termasuk mengamankan kredensial otentikasi akunnya, (b) melindungi keamanan Data Pelanggan saat dalam perjalanan ke dan dari Layanan, (c) mengambil langkah yang tepat untuk mengenkripsi atau membuat cadangan Data Pelanggan yang diunggah ke Layanan secara aman, (d) mengonfigurasi Layanan dan Kontrol Layanan dengan benar, dan (e) mengambil langkah lain yang dianggap memadai oleh Pelanggan untuk memastikan keamanan, perlindungan, dan penghapusan Data Pelanggan.

5.3 Pemberitahuan Insiden Keamanan.

5.3.1 Insiden Keamanan. MAPSLY akan (a) memberitahukan Pelanggan tentang Insiden Keamanan tanpa penundaan yang tidak semestinya setelah mengetahui Insiden Keamanan tersebut, dan (b) mengambil langkah-langkah yang tepat untuk menangani Insiden Keamanan, termasuk langkah-langkah untuk mengurangi dampak negatif yang timbul dari Insiden Keamanan tersebut.

5.3.2 Bantuan MAPSLY. Untuk memungkinkan Pelanggan memberi tahu Insiden Keamanan kepada otoritas pengawas atau subjek data (jika berlaku), MAPSLY akan bekerja sama dengan dan membantu Pelanggan dengan memasukkan dalam pemberitahuan informasi tentang Insiden Keamanan yang dapat diungkapkan MAPSLY kepada Pelanggan, dengan mempertimbangkan sifat pemrosesan, informasi yang tersedia bagi MAPSLY, dan setiap pembatasan dalam mengungkapkan informasi tersebut, seperti kerahasiaan. Dengan mempertimbangkan sifat pemrosesan, Pelanggan setuju bahwa mereka paling mampu menentukan kemungkinan konsekuensi dari Insiden Keamanan.

5.3.3 Insiden Keamanan yang Tidak Berhasil. Pelanggan setuju bahwa:

(i) Insiden Keamanan yang tidak berhasil tidak akan tunduk pada Bagian 5.3 ini. Insiden Keamanan yang tidak berhasil adalah insiden yang tidak mengakibatkan akses tanpa izin ke Data Pelanggan atau ke peralatan atau fasilitas MAPSLY mana pun yang menyimpan Data Pelanggan, dan dapat mencakup, tanpa batasan, ping dan serangan siaran lainnya pada firewall atau server edge, pemindaian port, upaya masuk yang tidak berhasil, serangan denial of service, packet sniffing (atau akses tanpa izin lainnya ke data lalu lintas yang tidak mengakibatkan akses di luar header) atau insiden serupa; dan,

(ii) Kewajiban MAPSLY untuk melaporkan atau menanggapi Insiden Keamanan berdasarkan Bagian 5.3 ini tidak dan tidak akan ditafsirkan sebagai pengakuan oleh MAPSLY atas kesalahan atau tanggung jawab apa pun dari MAPSLY sehubungan dengan Insiden Keamanan tersebut.

5.3.4 Komunikasi. Notifikasi Insiden Keamanan, jika ada, akan dikirimkan kepada satu atau lebih administrator Pelanggan dengan cara apa pun yang dipilih oleh MAPSLY, termasuk melalui email. Merupakan tanggung jawab tunggal Pelanggan untuk memastikan administrator Pelanggan mempertahankan informasi kontak yang akurat pada konsol Pengaturan MAPSLY dan transmisi yang aman setiap saat.

5.3.5 Kewajiban Pemberitahuan. Jika MAPSLY memberitahu Pelanggan tentang Insiden Keamanan, atau Pelanggan mengetahui adanya penghancuran, kehilangan, perubahan, pengungkapan yang tidak sah, atau akses ke Data Pelanggan, Pelanggan bertanggung jawab untuk (a) menentukan apakah ada kewajiban pemberitahuan atau kewajiban lain berdasarkan Hukum Perlindungan Data yang Berlaku dan (b) mengambil tindakan yang diperlukan untuk mematuhi kewajiban tersebut. Hal ini tidak membatasi kewajiban MAPSLY berdasarkan Bagian 5.3 ini.

6. Sub-pemrosesan

6.1 Sub-pemroses resmi. Pelanggan memberikan otorisasi umum atas penggunaan sub-pemroses oleh MAPSLY untuk menyediakan aktivitas pemrosesan atas Data Pelanggan atas nama Pelanggan (“Sub-pemroses”) sesuai dengan Bagian ini. Situs web MAPSLY (saat ini dipublikasikan di, https://mapsly.com/sub-processors/) mencantumkan Sub-pemroses yang saat ini digunakan oleh MAPSLY. Setidaknya 30 hari sebelum MAPSLY menggunakan Sub-pemroses, MAPSLY akan memperbarui situs web yang berlaku dan menyediakan mekanisme bagi Pelanggan untuk memperoleh pemberitahuan tentang pembaruan tersebut. Untuk menolak Sub-pemroses, Pelanggan dapat: (i) berhenti menggunakan fungsionalitas Layanan MAPSLY yang untuknya MAPSLY telah menggunakan Sub-pemroses tersebut, atau (ii) mengakhiri Perjanjian sesuai dengan ketentuannya. Jika Pelanggan menolak Sub-pemroses baru atas dasar yang wajar terkait perlindungan data dan para pihak tidak dapat menyelesaikan keberatan tersebut dalam waktu tiga puluh (30) hari, Pelanggan dapat mengakhiri Perjanjian sehubungan dengan Layanan yang terdampak melalui pemberitahuan tertulis, dan MAPSLY akan mengembalikan kepada Pelanggan biaya prabayar secara prorata untuk bagian yang tidak digunakan dari Periode Penagihan yang saat itu berjalan setelah tanggal efektif pengakhiran. Jika fungsionalitas yang terdampak tidak dapat dipisahkan secara wajar dari bagian Layanan lainnya, Pelanggan dapat mengakhiri Perjanjian secara keseluruhan dengan ketentuan yang sama.

6.2 Kewajiban Sub-pemroses. Di mana MAPSLY mengizinkan Sub-pemroses seperti dijelaskan dalam Bagian 6.1:

(i) MAPSLY akan membatasi akses Sub-pemroses ke Data Pelanggan hanya pada hal yang diperlukan untuk menyediakan atau memelihara Layanan sesuai dengan Dokumentasi, dan MAPSLY akan melarang Sub-pemroses mengakses Data Pelanggan untuk tujuan lainnya;,

(ii) MAPSLY akan mengadakan perjanjian tertulis dengan Sub-pemroses dan, sejauh Sub-pemroses melaksanakan layanan pemrosesan data yang sama yang disediakan oleh MAPSLY berdasarkan DPA ini, MAPSLY akan membebankan kepada Sub-pemroses kewajiban kontraktual yang sama dengan kewajiban yang dimiliki MAPSLY berdasarkan DPA ini; dan,

(iii) MAPSLY akan tetap bertanggung jawab atas kepatuhannya terhadap kewajiban dalam DPA ini dan atas setiap tindakan atau kelalaian Sub-pemroses yang menyebabkan MAPSLY melanggar salah satu kewajiban MAPSLY berdasarkan DPA ini.

7. Bantuan MAPSLY terkait Permintaan Subjek Data

Dengan mempertimbangkan sifat pemrosesan, Kontrol Layanan adalah langkah teknis dan organisasi di mana MAPSLY akan membantu Pelanggan dalam memenuhi kewajiban Pelanggan untuk menanggapi permintaan subjek data berdasarkan Undang-Undang Perlindungan Data yang Berlaku. Jika subjek data mengajukan permintaan ke MAPSLY, MAPSLY akan segera meneruskan permintaan tersebut ke Pelanggan setelah MAPSLY mengidentifikasi bahwa permintaan tersebut berasal dari subjek data yang menjadi tanggung jawab Pelanggan. Pelanggan memberi wewenang atas namanya, dan atas nama pengendali data saat Pelanggan bertindak sebagai Pemroses, kepada MAPSLY untuk menanggapi setiap subjek data yang mengajukan permintaan ke MAPSLY, untuk mengonfirmasi bahwa MAPSLY telah meneruskan permintaan tersebut ke Pelanggan. Para pihak setuju bahwa penggunaan Kontrol Layanan oleh Pelanggan dan penerusan permintaan subjek data oleh MAPSLY kepada Pelanggan sesuai dengan bagian ini mewakili cakupan dan batasan bantuan yang diperlukan dari Pelanggan.

8. Verifikasi Kepatuhan

8.1 Audit MAPSLY. MAPSLY menggunakan auditor eksternal untuk memverifikasi kecukupan langkah-langkah keamanannya. Audit ini: (a) akan dilakukan setidaknya setiap tahun; (b) akan dilakukan sesuai dengan standar yang diakui secara luas (seperti SOC 2 Type II); (c) akan dilakukan oleh profesional keamanan pihak ketiga yang independen atas pilihan dan biaya MAPSLY; dan (d) akan menghasilkan laporan audit (“Laporan”), yang akan menjadi Informasi Rahasia MAPSLY.

8.2 Laporan Audit. Atas permintaan tertulis Pelanggan, dan dengan ketentuan bahwa para pihak memiliki NDA yang berlaku, MAPSLY akan memberikan salinan Laporan kepada Pelanggan sehingga Pelanggan dapat secara wajar memverifikasi kepatuhan MAPSLY terhadap kewajibannya berdasarkan DPA ini.

8.3 Penilaian Dampak Privasi dan Konsultasi Sebelumnya. Dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi MAPSLY, MAPSLY akan membantu Pelanggan dalam memenuhi kewajiban Pelanggan terkait penilaian dampak perlindungan data dan konsultasi sebelumnya dengan menyediakan informasi yang MAPSLY sediakan berdasarkan Bagian 8 ini.

9. Transfer Data Pribadi

9.1 Lokasi. MAPSLY menyimpan dan memproses Data Pelanggan dalam Jaringan MAPSLY di AS. Personel MAPSLY dan Sub-pemroses dapat mengakses Data Pelanggan dari jarak jauh dari negara lain tempat mereka beroperasi semata-mata sebagaimana diperlukan untuk menyediakan, memelihara, dan mendukung Layanan; setiap akses tersebut merupakan Transfer Data yang diatur oleh Bagian 9 ini. MAPSLY tidak akan mentransfer Data Pelanggan dengan cara lain ke luar EEA, Inggris Raya, Swiss, dan AS kecuali sebagaimana diperlukan untuk menyediakan Layanan yang diprakarsai oleh Pelanggan, atau sebagaimana diperlukan untuk mematuhi hukum atau perintah yang sah dan mengikat dari badan pemerintah.

9.2 Penerapan Klausul Kontrak Standar. Tunduk pada Bagian 9.3, Klausul Kontraktual Standar hanya akan berlaku untuk Data Pelanggan yang tunduk pada GDPR, UK GDPR, atau FADP yang ditransfer, baik secara langsung maupun melalui transfer lanjutan, ke Negara Ketiga mana pun (masing-masing disebut “Transfer Data”).

9.2.1 Ketika Pelanggan bertindak sebagai Pengendali, Klausul Pengendali-ke-Pemroses akan berlaku untuk Transfer Data.

9.2.2 Ketika Pelanggan bertindak sebagai Pemroses, Klausul Pemroses-ke-Pemroses akan berlaku untuk Transfer Data. Dengan mempertimbangkan sifat pemrosesan, Pelanggan menyetujui bahwa tidak mungkin MAPSLY mengetahui identitas Pengendali Pelanggan karena MAPSLY tidak memiliki hubungan langsung dengan Pengendali Pelanggan dan oleh karena itu, Pelanggan akan memenuhi kewajiban MAPSLY kepada Pengendali Pelanggan berdasarkan Klausul Pemroses-ke-Pemroses.

9.2.3 Untuk Transfer Data yang tunduk pada UK GDPR, Klausul Kontrak Standar berlaku sebagaimana dilengkapi oleh Adendum UK, yang dilengkapi sebagaimana ditetapkan dalam Bagian 9.4.,

9.2.4 Untuk Transfer Data yang tunduk pada FADP, Klausul Kontrak Standar berlaku dengan penyesuaian berikut: (i) rujukan ke GDPR harus dibaca sebagai rujukan ke FADP; (ii) otoritas pengawas yang berwenang adalah Komisaris Federal Swiss untuk Perlindungan Data dan Informasi; (iii) istilah “Negara Anggota” ditafsirkan mencakup Swiss, sehingga subjek data di Swiss dapat menegakkan hak mereka di tempat tinggal kebiasaan mereka; and (iv) rujukan ke hukum UE harus dibaca sebagai rujukan ke hukum Swiss apabila transfer tersebut secara eksklusif tunduk pada FADP.

9.3 Mekanisme Transfer Alternatif. Sejauh MAPSLY telah mengadopsi mekanisme transfer alternatif yang sah yang diakui berdasarkan Hukum Perlindungan Data yang Berlaku — termasuk sertifikasi MAPSLY berdasarkan Kerangka Privasi Data UE-AS, Ekstensi Inggris untuk Kerangka Privasi Data UE-AS, dan Kerangka Privasi Data Swiss-AS — mekanisme tersebut akan berlaku untuk Transfer Data sebagai pengganti Klausul Kontrak Standar selama mekanisme tersebut tetap sah. Jika mekanisme alternatif tersebut dibatalkan, ditangguhkan, ditarik, atau dengan cara lain tidak lagi memberikan dasar hukum untuk Transfer Data, Klausul Kontrak Standar (sebagaimana dilengkapi dalam Bagian 9.4) akan secara otomatis berlaku untuk Transfer Data tersebut tanpa tindakan lebih lanjut oleh salah satu pihak. MAPSLY akan mempertahankan sertifikasi Kerangka Privasi Datanya selama MAPSLY mengandalkan Kerangka Privasi Data untuk Transfer Data.

9.4 Penyelesaian Klausul Kontrak Standar. For each Data Transfer to which the Standard Contractual Clauses apply, the Standard Contractual Clauses are deemed completed as follows: (i) Module Two (transfer controller to processor) applies where Customer acts as a Controller, and Module Three (transfer processor to processor) applies where Customer acts as a Processor; (ii) in Clause 7, the optional docking clause does not apply; (iii) in Clause 9, Option 2 (general written authorisation) applies, and the time period for prior notice of Sub-processor changes is thirty (30) days, in accordance with Section 6.1; (iv) in Clause 11, the optional language does not apply; (v) in Clauses 17 and 18, the governing law and the competent courts are those of Ireland; and (vi) Annex I of the Standard Contractual Clauses is deemed completed with the information set out in Annex B to this DPA, Annex II is deemed completed with Annex A to this DPA, and Annex III is deemed completed with the Sub-processor list referenced in Section 6.1. Where the UK Addendum applies: Table 1 is deemed completed with the parties’ details under the Agreement; Table 2 with the Standard Contractual Clauses as completed above; Table 3 with the Annex information above; and, for Table 4, neither party may end the UK Addendum as set out in Section 19 of the UK Addendum.

10. Pengakhiran DPA

DPA ini akan tetap berlaku hingga pengakhiran Perjanjian (“Tanggal Pengakhiran”).

11. Penghapusan Data Pelanggan

Setelah pengakhiran atau berakhirnya Perjanjian, MAPSLY akan menghapus Data Pelanggan dari sistem aktifnya atas permintaan Pelanggan, dan dalam keadaan apa pun paling lambat dalam periode 90 hari setelah pengakhiran, kecuali dan sejauh MAPSLY diwajibkan oleh hukum yang berlaku untuk menyimpan sebagian atau seluruh Data Pelanggan, dalam hal ini MAPSLY akan mengisolasi Data ini secara aman, melindunginya dari pemrosesan lebih lanjut, dan menghapusnya sesuai dengan periode retensi yang berlaku. Data Pelanggan yang disimpan dalam sistem cadangan akan dihapus atau ditimpa dalam proses biasa siklus rotasi cadangan MAPSLY setelah dihapus dari sistem aktif dan akan dilindungi dari pemrosesan lebih lanjut hingga dihapus.

12. Kewajiban untuk Memberi Informasi

Jika Data Pelanggan menjadi subjek penyitaan selama proses kebangkrutan, kepailitan, atau tindakan serupa oleh pihak ketiga saat sedang diproses oleh MAPSLY, MAPSLY akan memberitahu Pelanggan tanpa penundaan yang tidak perlu. MAPSLY juga akan, tanpa penundaan yang tidak perlu, memberi tahu semua pihak terkait dalam tindakan tersebut (misalnya, kreditur, kurator kepailitan) bahwa setiap Data Pelanggan yang menjadi subjek proses tersebut adalah milik Pelanggan dan menjadi tanggung jawab Pelanggan serta bahwa Data Pelanggan berada sepenuhnya di bawah pengendalian Pelanggan.

13. Keseluruhan Perjanjian; Pertentangan; Perubahan

DPA ini memasukkan Klausul Kontrak Standar melalui referensi. Kecuali sebagaimana diubah oleh DPA ini, Perjanjian akan tetap berlaku sepenuhnya dan memiliki kekuatan hukum. Jika terdapat pertentangan antara Klausul Kontrak Standar, DPA ini, dan Perjanjian mengenai pemrosesan Data Pelanggan, Klausul Kontrak Standar akan berlaku terlebih dahulu, DPA ini akan berlaku kedua, dan Perjanjian akan berlaku ketiga. Untuk semua hal lainnya, Perjanjian berlaku. Tidak ada satu pun dalam dokumen ini yang mengubah atau memodifikasi Klausul Kontrak Standar. DPA ini dapat diubah sesuai dengan Bagian 14.1 dari Perjanjian, dengan ketentuan bahwa MAPSLY akan memberikan pemberitahuan sebelumnya kepada Pelanggan tentang setiap perubahan yang secara material mengurangi perlindungan yang diberikan kepada Data Pelanggan berdasarkan DPA ini.

14. Data Google Workspace API

Penggunaan data pengguna mentah atau turunan yang diterima dari Workspace APIs akan mematuhi Kebijakan Data Pengguna Google, termasuk persyaratan Limited Use.

15. Bahasa

DPA ini telah disiapkan dalam bahasa Inggris. Terjemahan apa pun yang ditampilkan di mapsly.com disediakan hanya untuk kemudahan. Jika terjadi ketidaksesuaian atau konflik antara versi terjemahan dan versi bahasa Inggris yang tersedia di, https://mapsly.com/dpa, versi bahasa Inggris yang akan berlaku. Klausul Kontraktual Standar dimasukkan melalui rujukan dalam versi bahasa Inggrisnya; tidak ada ketentuan dalam Bagian ini yang mengubah atau memodifikasi Klausul Kontraktual Standar.

Lampiran A — Tindakan Teknis dan Organisasi

MAPSLY menerapkan langkah-langkah teknis dan organisasi berikut untuk melindungi Data Pelanggan. MAPSLY dapat memperbarui langkah-langkah ini dari waktu ke waktu, asalkan tidak ada pembaruan yang secara material mengurangi keamanan Layanan secara keseluruhan.

• Hosting dan ketahanan: Layanan dihosting di Amazon Web Services di Amerika Serikat di beberapa zona ketersediaan; cadangan dibuat setiap hari dan disimpan di zona ketersediaan terpisah; pemulihan cadangan diuji setidaknya sekali setahun.
• Enkripsi: Data Pelanggan dienkripsi saat disimpan dan saat transit menggunakan protokol enkripsi standar industri.
• Kontrol akses: akses ke sistem produksi berbasis peran, dibatasi untuk personel yang berwenang berdasarkan prinsip hak akses paling rendah, dicabut segera saat terjadi perubahan peran atau penghentian kerja, dan ditinjau secara berkala.
• Autentikasi: single sign-on dan autentikasi multifaktor didukung.
• Pengembangan aman: praktik pengembangan aman yang terdokumentasi, termasuk peninjauan kode dan pemisahan lingkungan pengembangan, pengujian, dan produksi.
• Manajemen kerentanan: pemindaian kerentanan berkala dan pengujian penetrasi setidaknya setiap tahun oleh pihak ketiga independen, dengan remediasi sesuai jadwal terdokumentasi berdasarkan tingkat keparahan.
• Pencatatan dan pemantauan: peristiwa yang relevan dengan keamanan dicatat, disimpan, dan dipantau.
• Personel: personel terikat oleh kewajiban kerahasiaan dan menerima pelatihan kesadaran keamanan.
• Respons insiden: rencana respons insiden yang terdokumentasi dipelihara; Insiden Keamanan ditangani sesuai dengan Bagian 5.3.
• Keberlangsungan bisnis: rencana keberlangsungan bisnis dan pemulihan bencana yang terdokumentasi dipelihara.
• Tata kelola: rangkaian kebijakan keamanan informasi yang terdokumentasi dipelihara dan ditinjau secara berkala; personel menerima kebijakan yang berlaku.
• Jaminan independen: kontrol keamanan diaudit setidaknya setiap tahun oleh pihak ketiga independen berdasarkan standar yang diakui secara luas (saat ini SOC 2 Type II).

Lampiran B — Informasi Klausul Kontrak Standar

Untuk tujuan Lampiran I dari Klausul Kontrak Standar, informasi berikut berlaku untuk setiap Transfer Data:

• Eksportir data: Pelanggan (nama, alamat, dan detail kontak sebagaimana diberikan dalam akun MAPSLY Pelanggan dan Perjanjian), bertindak sebagai Pengendali atau sebagai Pemroses atas nama Pengendalinya, sebagaimana dijelaskan dalam Bagian 9.2. Kontak: kontak administrator Pelanggan yang tercatat.
• Pengimpor data: Mapsly LLC, 440 N Barranca Ave #4985, Covina, CA 91723, USA; [email protected]; bertindak sebagai Pemroses.
• Tanda tangan dan tanggal: setiap pihak dianggap telah menandatangani Klausul Kontrak Standar, termasuk Lampirannya, setelah penerimaan atau pelaksanaan Perjanjian, yang berlaku sejak tanggal efektif Perjanjian.
• Kategori subjek data: sebagaimana dijelaskan dalam Bagian 1.3.6.
• Kategori data pribadi: sebagaimana dijelaskan dalam Bagian 1.3.5.
• Data sensitif: Layanan tidak dirancang secara khusus untuk memerlukan kategori khusus data pribadi. Sejauh Pelanggan memilih untuk mengirimkan data tersebut, Pelanggan bertanggung jawab atas kepatuhannya terhadap Undang-Undang Perlindungan Data yang Berlaku dalam melakukannya, dan data diproses hanya sesuai dengan Instruksi Terdokumentasi Pelanggan serta dilindungi oleh langkah-langkah yang dijelaskan dalam Lampiran A.,
• Frekuensi transfer: berkelanjutan, selama durasi yang dijelaskan dalam Bagian 1.3.2.
• Sifat dan tujuan pemrosesan: sebagaimana dijelaskan dalam Bagian 1.3.3 dan 1.3.4. Transfer ke Sub-pemroses: sebagaimana dijelaskan dalam Bagian 6, untuk durasi yang sama.
• Periode retensi: sebagaimana dijelaskan dalam Bagian 11.
• Otoritas pengawas yang berwenang (Klausul 13): jika pengekspor data berkedudukan di Negara Anggota EEA, otoritas pengawas Negara Anggota tersebut; jika pengekspor data tidak berkedudukan di EEA tetapi termasuk dalam cakupan wilayah GDPR dan telah menunjuk perwakilan UE, otoritas pengawas Negara Anggota tempat perwakilan tersebut berkedudukan; jika pengekspor data termasuk dalam cakupan wilayah GDPR berdasarkan Pasal 3(2) tetapi belum menunjuk perwakilan UE, otoritas pengawas dari salah satu Negara Anggota tempat subjek data yang data pribadinya ditransfer berada. Untuk Transfer Data yang tunduk pada UK GDPR, Kantor Komisioner Informasi Inggris Raya; untuk Transfer Data yang tunduk pada FADP, Komisioner Federal Swiss untuk Perlindungan Data dan Informasi.