Data Processing Agreement (DPA)
Perjanjian Pemrosesan Data ini (selanjutnya disebut “DPA”) merupakan bagian tak terpisahkan dari Syarat & Ketentuan antara klinik atau fasilitas kesehatan pelanggan (selanjutnya disebut “Pengendali”) dengan PT Dinamika Solusi Abadi (selanjutnya disebut “Prosesor” atau “Sistem Klinik”), sehubungan dengan pemrosesan data pribadi pasien dan pengguna melalui Layanan Sistem Klinik.
DPA ini disusun untuk memenuhi ketentuan Pasal 51 UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang mewajibkan adanya perjanjian tertulis antara Pengendali dan Prosesor.
Penerimaan otomatis. Dengan menggunakan Layanan dan memasukkan data pasien ke dalam sistem, Pengendali dianggap menerima ketentuan DPA ini. Versi yang dapat ditandatangani (PDF) tersedia atas permintaan ke legal@sistemklinik.com untuk keperluan audit Kemenkes atau pihak ketiga.
1. Definisi
Istilah Data Pribadi, Pengendali, Prosesor, Subjek Data, Pemrosesan, dan Data Pribadi yang Bersifat Spesifikmemiliki arti sebagaimana diatur dalam UU PDP. Istilah lain merujuk pada Syarat & Ketentuan.
2. Peran Para Pihak
- Pengendali menentukan tujuan dan kendali atas pemrosesan Data Pribadi pasien, termasuk persetujuan, retensi, dan pengungkapan kepada pihak ketiga.
- Prosesor hanya memproses Data Pribadi berdasarkan instruksi terdokumentasi dari Pengendali, sebagaimana dijabarkan dalam Layanan dan dokumentasi pendukungnya.
3. Lingkup Pemrosesan
3.1. Subjek Data
- Pasien klinik Pengendali
- Tenaga medis dan staf klinik Pengendali (sebagai Pengguna)
3.2. Kategori Data
- Identitas pasien (nama, NIK, tanggal lahir, jenis kelamin, alamat, kontak)
- Data kesehatan dan rekam medis elektronik (Data Pribadi Spesifik)
- Riwayat kunjungan, diagnosis, tindakan, dan resep
- Data pembayaran terkait pelayanan klinik
- Data tenaga medis (STR, SIP, jadwal praktik)
3.3. Tujuan Pemrosesan
- Penyediaan fitur manajemen klinik, rekam medis, antrian, dan farmasi
- Integrasi dan pelaporan ke SatuSehat Kementerian Kesehatan
- Backup dan pemulihan data
- Dukungan teknis atas permintaan Pengendali
3.4. Jangka Waktu
Selama langganan Pengendali aktif dan periode retensi pasca-pengakhiran sebagaimana diatur dalam Pasal 9 DPA ini.
4. Kewajiban Prosesor
Prosesor wajib:
- Memproses Data Pribadi hanya berdasarkan instruksi Pengendali, kecuali diwajibkan oleh peraturan perundang-undangan.
- Menjamin personel yang memproses Data Pribadi terikat kewajiban kerahasiaan dan telah menjalani pelatihan pelindungan data.
- Menerapkan langkah teknis dan organisasional yang sesuai untuk melindungi Data Pribadi, termasuk yang tercantum dalam Lampiran A.
- Membantu Pengendali memenuhi permintaan Subjek Data terkait hak-haknya sebagaimana diatur UU PDP.
- Memberitahu Pengendali tanpa penundaan yang tidak wajar (paling lambat 48 jam) setelah mengetahui terjadinya insiden pelindungan Data Pribadi, dengan informasi yang memadai untuk memungkinkan Pengendali memenuhi kewajibannya kepada lembaga pengawas pelindungan data pribadi yang berwenang (3 × 24 jam).
- Membantu Pengendali menyelenggarakan Penilaian Dampak Pelindungan Data Pribadi (DPIA) apabila diperlukan.
- Menghapus atau mengembalikan Data Pribadi sesuai instruksi Pengendali saat berakhirnya layanan, sebagaimana diatur Pasal 9.
- Menyediakan informasi yang wajar untuk membuktikan kepatuhan terhadap DPA ini, termasuk hak audit Pengendali sebagaimana Pasal 8.
5. Kewajiban Pengendali
Pengendali wajib:
- Memperoleh dan mendokumentasikan persetujuan Subjek Data sesuai UU PDP
- Memastikan instruksi yang diberikan kepada Prosesor sah secara hukum
- Menanggapi permintaan Subjek Data terkait hak-haknya
- Memberitahu lembaga pengawas pelindungan data pribadi yang berwenang atas insiden Data Pribadi sebagaimana diatur UU PDP
- Memelihara catatan kegiatan pemrosesan sesuai Pasal 31 UU PDP
6. Sub-Prosesor
Pengendali memberikan persetujuan umum kepada Prosesor untuk menggunakan sub-prosesor sebagaimana tercantum pada Lampiran B. Prosesor wajib:
- Memberitahukan Pengendali atas penambahan atau penggantian sub-prosesor paling lambat 30 hari sebelum berlaku, melalui email atau notifikasi dalam aplikasi.
- Memastikan setiap sub-prosesor terikat kewajiban perlindungan data paling tidak setara dengan DPA ini.
- Tetap bertanggung jawab penuh atas tindakan sub-prosesor terhadap Pengendali.
Pengendali dapat mengajukan keberatan tertulis atas sub-prosesor baru dalam 14 hari sejak pemberitahuan. Bila keberatan tidak dapat diselesaikan, Pengendali berhak mengakhiri Layanan tanpa sanksi.
7. Transfer Data Lintas Batas
Sebagian besar infrastruktur Prosesor (basis data, autentikasi, penyimpanan file, dan hosting aplikasi) berada di Singapura (region ap-southeast-1). Transfer dilakukan sesuai Pasal 56 UU PDP dengan menerapkan:
- Verifikasi tingkat pelindungan data negara tujuan (Singapura: PDPA 2012)
- Klausul kontrak yang mengikat sub-prosesor (DPA terpisah dengan masing-masing penyedia)
- Enkripsi data dalam transit (TLS 1.2+) dan saat tersimpan (AES-256)
Daftar lokasi pemrosesan tercantum pada Lampiran B.
8. Audit
Pengendali berhak melakukan audit kepatuhan Prosesor atas DPA ini maksimal satu kali per tahun dengan pemberitahuan tertulis minimal 30 hari sebelumnya, kecuali terjadi insiden material. Audit dapat dilakukan melalui:
- Permintaan dokumentasi (SOC 2, ISO 27001, atau laporan setara) jika tersedia
- Kuesioner kepatuhan
- Audit pihak ketiga atas biaya Pengendali
Audit tidak boleh mengakses Data Pribadi pelanggan lain dan tidak boleh mengganggu operasional Prosesor.
9. Pengakhiran & Pengembalian Data
Saat berakhirnya Layanan:
- Pengendali dapat mengekspor Data Pribadi dalam format yang dapat dibaca mesin selama jangka waktu 30 hari.
- Setelah masa ekspor berakhir, Prosesor akan menghapus Data Pribadi dari sistem produksi dalam 30 hari dan dari cadangan dalam 90 hari.
- Pengecualian: Data yang wajib disimpan berdasarkan peraturan perundang-undangan (mis. rekam medis minimal 25 tahun sejak tanggal terakhir pasien berobat per Pasal 47 Permenkes 24/2022, dan ringkasan pulang 25 tahun berikutnya) dapat tetap disimpan dengan akses terbatas.
- Prosesor akan menerbitkan sertifikat penghapusan atas permintaan.
10. Tanggung Jawab
Tanggung jawab masing-masing pihak atas pelanggaran DPA ini mengikuti ketentuan pembatasan tanggung jawab dalam Syarat & Ketentuan, dengan catatan bahwa pembatasan tersebut tidak berlaku terhadap kewajiban hukum yang tidak dapat dikecualikan berdasarkan UU PDP.
11. Hukum yang Berlaku
DPA ini diatur oleh hukum Republik Indonesia. Sengketa diselesaikan sesuai mekanisme dalam Syarat & Ketentuan.
Lampiran A — Langkah Teknis & Organisasional
- Enkripsi dalam transit (TLS 1.2+) dan saat tersimpan (AES-256)
- Kontrol akses berbasis peran (RBAC) dan prinsip least privilege
- Otentikasi multi-faktor untuk akun administratif
- Audit log seluruh akses terhadap Data Pribadi spesifik
- Pencadangan terenkripsi harian dengan retensi terstruktur
- Pemisahan lingkungan produksi dan non-produksi
- Penilaian kerentanan berkala dan manajemen patch
- Rencana respons insiden dan pemulihan bencana
- Pelatihan keamanan dan kerahasiaan personel berkala
- Perjanjian kerahasiaan dengan seluruh personel dan kontraktor
Lampiran B — Daftar Sub-Prosesor
Daftar berikut mencerminkan sub-prosesor aktif per tanggal pembaruan DPA ini. Daftar terkini dipublikasikan di /legal/sub-prosesor dan diperbarui sebelum penambahan sub-prosesor baru.
- Supabase Inc. — basis data PostgreSQL, autentikasi, dan penyimpanan file. Lokasi pemrosesan: Singapura (ap-southeast-1).
- Amazon Web Services, Inc. (AWS Amplify, S3, CloudFront) — hosting aplikasi dan distribusi konten. Lokasi: Singapura (ap-southeast-1).
- Vercel Inc. — hosting frontend marketing dengan edge global, rute Asia Tenggara sebagai primer.
- Cloudflare, Inc. — proteksi DDoS, DNS, dan CDN. Lokasi: global edge.
- Xendit (PT Xendit Teknologi Indonesia) — gateway pembayaran berlisensi Bank Indonesia (PJP). Lokasi: Indonesia.
- Meta Platforms, Inc. (WhatsApp Business API) — pengiriman notifikasi WhatsApp. Lokasi: global, sesuai DPA Meta.
- Chatwoot (self-hosted oleh Prosesor di chat.shr.co.id) — platform dukungan pelanggan. Lokasi pemrosesan: Singapura (ap-southeast-1).
- Kementerian Kesehatan RI — SatuSehat — penerima data rekam medis sesuai mandat regulasi. Lokasi: Indonesia.
Kontak
- PT Dinamika Solusi Abadi
- Petugas Pelindungan Data: dpo@sistemklinik.com
- Legal: legal@sistemklinik.com