# Adendum Pemrosesan Data > Adendum Pemrosesan Data Shoprocket yang mencakup kewajiban pemrosesan data berdasarkan GDPR. Terakhir diperbarui 26 April 2026 Ini adalah terjemahan demi kenyamanan Anda. [Versi bahasa Inggris](https://v3.shoprocket.io/gdpr.md) adalah versi yang mengikat secara hukum, dan berlaku jika keduanya berbeda. Adendum Pemrosesan Data Shoprocket ini ("Adendum") mengubah Syarat & Ketentuan Shoprocket ("Perjanjian") antara Anda ("Anda") dan **Shoprocket LTD** (nomor perusahaan 12656598, terdaftar di Inggris & Wales di 20-22 Wenlock Road, London, NG 17U). Jika Anda memiliki SLA terpisah dengan Shoprocket, rujukan pada Perjanjian berarti SLA tersebut. Adendum ini tunduk pada dan menjadi bagian dari Perjanjian. Istilah dengan huruf kapital yang tidak didefinisikan di sini memiliki arti sebagaimana diberikan dalam Perjanjian. --- ## Definisi - **Pengaturan Akun**: Konfigurasi Akun Shoprocket Anda (termasuk keamanan) yang memungkinkan Anda mengelola cara Shoprocket memproses Data Pribadi. - **Tujuan Bisnis**: Layanan sebagaimana didefinisikan dalam Perjanjian. - **Data Akun Klien**: Data Pribadi tentang hubungan Anda dengan Shoprocket (misalnya kontak yang berwenang, detail penagihan), ditambah informasi yang dikumpulkan Shoprocket untuk pengelolaan akun, pemeriksaan identitas, atau persyaratan hukum. - **Data Penggunaan Klien**: Data penggunaan yang diproses oleh Shoprocket sehubungan dengan penggunaan Layanan oleh Anda (misalnya log, metrik kinerja, data pencegahan penyalahgunaan). - **Perundang-undangan Perlindungan Data**: Mencakup CCPA, GDPR UE, Undang-Undang Federal Swiss tentang Perlindungan Data, GDPR Inggris, DPA 2018, dan PECR 2003, masing-masing sebagaimana diperbarui. Istilah (misalnya "Pengendali Data," "Pemroses Data") mengikuti GDPR UE. - **EEA**: Wilayah Ekonomi Eropa. - **SCC UE**: Klausul Kontrak Standar menurut Keputusan Komisi 2021/914. - **Transfer Ex-EEA**: Transfer Data Pribadi (berdasarkan GDPR UE) ke luar EEA tanpa keputusan kecukupan berdasarkan Pasal 45 GDPR UE. - **Transfer Ex-UK**: Transfer Data Pribadi (berdasarkan GDPR Inggris) ke luar Inggris tanpa keputusan kecukupan dari Menteri Luar Negeri Inggris. - **Penyedia Layanan**: Sebagaimana didefinisikan dalam CCPA. - **Layanan**: Alat Shoprocket untuk membuat/mengelola toko online ("Toko Shoprocket"), menangani produk, pembayaran, pengiriman, pemasaran, dan alat atau layanan apa pun yang mungkin ditawarkan Shoprocket. - **Akun Shoprocket**: Akun Anda yang memberi akses ke Layanan, termasuk Pengaturan Akun, di [https://www.shoprocket.io](https://www.shoprocket.io). - **Kebijakan Privasi Shoprocket**: Pemberitahuan di [https://shoprocket.io/privacy](https://shoprocket.io/privacy), sebagaimana diperbarui. - **Toko Shoprocket**: Situs ecommerce Anda yang dihosting atau difasilitasi oleh Shoprocket. - **Data Kategori Khusus**: Sebagaimana didefinisikan dalam Pasal 4(13), 4(14), 4(15), dan 9 GDPR UE/Inggris (sebagaimana berlaku). - **Klausul Kontrak Standar (SCC)**: SCC UE dan SCC Inggris, sebagaimana relevan. - **SCC Inggris**: SCC UE sebagaimana diubah oleh Addendum IDTA dari ICO Inggris. - **Kami**: Shoprocket LTD (termasuk "Shoprocket" dan "Shoprocket.io"). - **Anda**: Pihak dalam kontrak yang disebutkan dalam Perjanjian. --- ## Instruksi Pelanggan Adendum ini dan Perjanjian (termasuk instruksi dalam Pengaturan Akun Anda) merupakan **Instruksi Terdokumentasi** tentang cara Shoprocket memproses Data Pribadi. Shoprocket hanya akan memproses Data Pribadi sesuai instruksi. Instruksi tambahan di luar ketentuan ini memerlukan persetujuan tertulis sebelumnya (dan dapat dikenakan biaya tambahan). Shoprocket dapat mengakhiri Adendum ini dan Perjanjian jika instruksi Anda bertentangan dengan Perundang-undangan Perlindungan Data atau menyimpang dari instruksi yang disepakati. Mengingat sifat pemrosesan, Shoprocket umumnya tidak dapat menilai apakah instruksi Anda melanggar hukum; jika Shoprocket memiliki pendapat demikian, Shoprocket akan memberi tahu Anda, dan Anda dapat mengubah atau menarik instruksi tersebut. --- ## Pemrosesan Data 1. **Pemrosesan oleh Shoprocket** - **Pemroses Data/Penyedia Layanan**: Kecuali untuk Data Akun Klien dan Data Penggunaan Klien, Shoprocket memproses Data Pribadi (berdasarkan GDPR UE/Inggris) atau informasi pribadi (berdasarkan CCPA) atas nama Anda. - **Pengendali Data Independen**: Shoprocket adalah Pengendali Data untuk Data Pribadi yang dikumpulkan langsung dari pelanggan Toko dan untuk Data Akun Klien atau Data Penggunaan Klien. 2. **Penyimpanan** - Data Pribadi disimpan di: 1. server AWS di Irlandia (atau wilayah EEA lainnya), 2. server Hetzner di Nuremberg/Falkenstein (Jerman). 3. **Ruang Lingkup dan Tujuan** - Shoprocket hanya memproses Data Pribadi sebagaimana diperlukan untuk Tujuan Bisnis yang Anda tentukan (sesuai dengan Layanan yang dibeli) dan sesuai dengan Perundang-undangan Perlindungan Data. - Jika diwajibkan oleh hukum untuk memproses dengan cara berbeda, Shoprocket akan memberi tahu Anda kecuali dilarang oleh hukum. - Shoprocket segera mengikuti instruksi tertulis Anda untuk mengubah, mentransfer, atau menghapus Data Pribadi, atau menghentikan pemrosesan yang tidak sah. - Shoprocket menjaga kerahasiaan Data Pribadi kecuali pengungkapan diizinkan atau diwajibkan secara hukum. - Shoprocket membantu pemenuhan kewajiban kepatuhan Anda (misalnya permintaan subjek data, DPIA) tanpa biaya tambahan. - Shoprocket memberi tahu Anda tentang perubahan hukum yang mungkin memengaruhi Perjanjian atau Adendum ini. 4. **Shoprocket sebagai Pengendali Data Independen** - Untuk Data Akun Klien dan Data Penggunaan Klien, Shoprocket bukan pengendali bersama, tetapi memproses data tersebut untuk mengelola hubungannya dengan Anda, mencegah penipuan/insiden keamanan, memenuhi kewajiban hukum, dan sebagainya, sesuai dengan Kebijakan Privasi Shoprocket. 5. **CCPA** - Kecuali untuk Data Akun Klien dan Data Penggunaan Klien, Shoprocket adalah Penyedia Layanan Anda berdasarkan CCPA; Shoprocket tidak akan "menjual" informasi pribadi tersebut dan hanya menggunakannya untuk menjalankan Layanan atau sebagaimana diizinkan oleh hukum. 6. **Add-on** - Anda dapat mengintegrasikan add-on pihak ketiga ("Add-On") berdasarkan EULA terpisah dengan masing-masing penerbit. Shoprocket mentransfer Data Pribadi yang diperlukan kepada Penerbit Add-On, tetapi tidak bertanggung jawab atas pemrosesan yang mereka lakukan. Add-On saat ini yang dipasarkan oleh Shoprocket mencakup: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: Pemenuhan dan sinkronisasi multi-saluran. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: Integrasi pembayaran yang mendukung berbagai metode/mata uang. - **Zapier**: Mengotomatiskan transfer data/alur kerja antara Shoprocket dan aplikasi lain. - Jika Shoprocket dan Anda memiliki SCC, instruksi Anda untuk mengintegrasikan Add-On merupakan persetujuan untuk mentransfer Data Pribadi kepada Penerbit Add-On tersebut jika disyaratkan oleh SCC. 7. **Tanggung Jawab Anda** - Anda adalah Pengendali Data untuk Data Pribadi apa pun yang dikumpulkan atau diproses oleh Shoprocket atas nama Anda. - Anda bertanggung jawab memenuhi persyaratan pemberitahuan/persetujuan dan memastikan kepatuhan terhadap Perundang-undangan Perlindungan Data. --- ## Jenis Data Pribadi dan Tujuan Pemrosesan - **Pokok Bahasan**: Data Pribadi yang Anda unggah ke Layanan, termasuk Akun atau Toko Shoprocket Anda. - **Durasi**: Ditentukan oleh Anda (hingga Anda menangguhkan/mengakhiri langganan Shoprocket atau integrasi terkait). - **Tujuan**: Menyediakan Layanan sesuai instruksi Anda (misalnya mengoperasikan Toko/Akun Shoprocket Anda). - **Sifat Pemrosesan**: Platform ecommerce Shoprocket (dan Sub-pemroses/Penerbit Add-On mana pun) dapat menyimpan atau memproses Data Pribadi. - **Jenis Data Pribadi**: Data yang Anda unggah (misalnya info kontak, detail pelanggan, catatan transaksi). - **Subjek Data**: Anda, pelanggan Anda, karyawan, kontraktor, agen, pemasok, atau vendor Anda. --- ## Keamanan Pemrosesan Data Shoprocket akan menjaga langkah teknis dan organisasi yang sesuai untuk melindungi Data Pribadi dari pemrosesan yang tidak sah atau melanggar hukum, kehilangan atau kerusakan yang tidak disengaja, selaras dengan **Pasal 32** GDPR UE/Inggris. Langkah-langkah tersebut mencakup (sebagaimana sesuai): - Pseudonimisasi/enkripsi data; - Memastikan kerahasiaan, integritas, ketersediaan, dan ketahanan sistem; - Memulihkan ketersediaan data secara tepat waktu setelah insiden; - Menguji, menilai, dan mengevaluasi langkah-langkah ini secara berkala. ### Karyawan Shoprocket - Shoprocket memastikan karyawan, kontraktor, dan agen yang menangani Data Pribadi telah dilatih, terikat kerahasiaan, dan sepenuhnya memahami kewajiban perlindungan data mereka. ### Keamanan (Dinyatakan Ulang) - Shoprocket terus memperbarui pengamanan teknis/organisasi untuk mencegah pemrosesan yang tidak sah, termasuk enkripsi, ketahanan sistem, kemampuan pemulihan, dan pengujian efektivitas. --- ## Pelanggaran Data Pribadi 1. **Pemberitahuan** - Shoprocket memberi tahu Anda dalam **72 jam** (dan tanpa penundaan yang tidak semestinya) jika mengetahui adanya: 1. Kehilangan/kerusakan Data Pribadi; 2. Pemrosesan yang tidak disengaja, tidak sah, atau melanggar hukum; 3. Pelanggaran Data Pribadi. 2. **Informasi** - Shoprocket memberikan deskripsi insiden, kategori/jumlah data yang terdampak, dan langkah yang telah atau akan diambil untuk memitigasi dampaknya. 3. **Kerja Sama** - Shoprocket berkoordinasi dengan Anda dalam penyelidikan dan tidak akan memberi tahu pihak ketiga tanpa persetujuan tertulis Anda kecuali diwajibkan secara hukum. 4. **Biaya** - Shoprocket menanggung biaya yang wajar untuk kewajiban ini kecuali insiden timbul dari instruksi, kelalaian, atau pelanggaran Anda, dalam hal ini Anda menanggung biaya wajar Shoprocket (termasuk penasihat profesional). --- ## Sub-pemroses Shoprocket saat ini menggunakan **Sub-pemroses** berikut untuk hosting/pemrosesan data, layanan infrastruktur/jaringan, atau fungsi layanan lainnya: | **Nama** | **Deskripsi** | **Lokasi** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Pelaporan/analitik langganan. | MA, AS | | **Amazon Web Services EMEA SARL** | Hosting cloud, komputasi, penyimpanan. | Luksemburg, UE | | **Automattic, Inc. (Gravatar)** | Memungkinkan pengguna mengunggah gambar profil ke akun Shoprocket. | CA, AS | | **Cloudflare, Inc.** | Keamanan dan konektivitas jaringan. | CA, AS | | **Crisp IM SAS** | Aplikasi live chat dan pesan pelanggan untuk dukungan pengguna. | Prancis, UE | | **Facebook Technologies Ireland** | Facebook Pixel untuk konversi, optimalisasi iklan, pembentukan audiens. | Irlandia, UE | | **Google Ireland Limited** | Google Analytics (analitik perilaku), Adwords (penempatan/monetisasi iklan). | Irlandia, UE | | **GmbH** | Hosting cloud, komputasi, dan penyimpanan. | Jerman, UE | | **TPS Unlimited, Inc. (Taxjar)** | Otomatisasi pajak untuk PPN UE & pajak penjualan AS di Toko Shoprocket. | CA, AS | | **Twilio, Inc. (Sendgrid)** | Pesan multi-saluran (email, SMS, WhatsApp). | Irlandia, UE | | **Twitter, Inc.** | Twitter Pixel untuk pelacakan konversi dan metrik kinerja iklan. | CA, AS | Anda mengizinkan Shoprocket menggunakan Sub-pemroses di atas dan memberikan otorisasi umum bagi Shoprocket untuk menambah yang lain ("Sub-pemroses yang Diotorisasi"). Shoprocket akan memberikan pemberitahuan setidaknya **30 hari** (melalui situs web, email, atau notifikasi Akun) sebelum menggunakan Sub-pemroses baru. Anda dapat berkeberatan dalam **10 hari** sejak pemberitahuan, secara tertulis, dengan alasan perlindungan data yang wajar. Jika Sub-pemroses yang esensial terlibat dan tidak ditemukan alternatif dalam **90 hari**, Anda dapat menghentikan atau mengakhiri Layanan terkait (tetap membayar biaya yang terutang). Jika Anda tidak berkeberatan dalam 10 hari, Sub-pemroses baru dianggap disetujui. Jika Shoprocket menunjuk Sub-pemroses, Shoprocket: - Membatasi akses hanya pada yang diperlukan untuk menyediakan atau meningkatkan Layanan; - Membebankan kewajiban perlindungan data yang sama kepada mereka; - Tetap bertanggung jawab atas kepatuhan mereka. Jika SCC berlaku, otorisasi Anda dihitung sebagai persetujuan tertulis sebelumnya berdasarkan Klausul 9(c) atau klausul SCC Inggris yang relevan. Shoprocket dapat menyamarkan detail komersial yang tidak esensial sebelum membagikan kontrak sub-pemrosesan kepada Anda. --- ## Transfer Data Pribadi Shoprocket dapat mentransfer Data Pribadi ke luar EEA, Inggris, atau Swiss untuk menyediakan Layanan (misalnya beberapa Penerbit Add-On/Sub-pemroses di AS). Jika tidak ada keputusan kecukupan yang berlaku, Shoprocket akan memastikan pengamanan yang sesuai menurut Perundang-undangan Perlindungan Data. - **Transfer Ex-EEA**: Dicakup oleh SCC UE (Modul Satu untuk Shoprocket sebagai Pengendali, Modul Dua untuk Shoprocket sebagai Pemroses). Klausul tertentu (misalnya docking pada Klausul 7) tidak berlaku; sengketa tunduk pada hukum/pengadilan Irlandia. - **Transfer Ex-UK**: Dicakup oleh Addendum IDTA. - **Transfer dari Swiss**: Serupa dengan SCC UE, dengan modifikasi untuk FADP Swiss. - **Langkah Tambahan**: - Tidak ada permintaan akses data resmi dari pemerintah per tanggal Adendum ini. - Jika dipaksa mengungkapkan data Anda, Shoprocket akan memberi tahu Anda (kecuali dilarang) dan membantu Anda mengupayakan langkah perlindungan. - Shoprocket dan Anda akan secara berkala membahas apakah hukum di negara pengimpor memberikan perlindungan yang setara atau memerlukan langkah tambahan. - Jika mekanisme transfer apa pun berhenti berlaku atau ditangguhkan oleh Otoritas Pengawas, Shoprocket dapat menerapkan pengaturan alternatif atau menangguhkan transfer. Jika Anda menyetujui Sub-pemroses/Add-On di luar EEA, Anda juga mengizinkan Shoprocket menandatangani SCC atas nama Anda. --- ## Keluhan, Permintaan Subjek Data, dan Hak Pihak Ketiga Shoprocket akan segera memberi Anda info atau bantuan apa pun yang Anda perlukan untuk: 1. Memenuhi hak Subjek Data (akses, perbaikan, penghapusan, portabilitas, keberatan, dan sebagainya). 2. Menanggapi atau mematuhi pemberitahuan informasi/penilaian dari regulator. Shoprocket memberi tahu Anda segera jika menerima keluhan atau komunikasi tentang pemrosesan, dan dalam **14 hari** jika menerima permintaan Subjek Data. Shoprocket membantu dalam menanggapinya, dan tidak akan mengungkapkan Data Pribadi kepada pihak ketiga kecuali diwajibkan oleh hukum atau instruksi Anda. --- ## Jangka Waktu dan Pengakhiran Adendum ini tetap berlaku selama Perjanjian berlaku, atau selama Shoprocket menyimpan Data Pribadi terkait. Ketentuan yang harus tetap berlaku demi perlindungan data tetap berlaku. Setiap pelanggaran material terhadap DPA ini merupakan pelanggaran material terhadap Perjanjian, yang memberi Anda hak mengakhiri segera tanpa tanggung jawab lebih lanjut. Jika perubahan Perundang-undangan Perlindungan Data menghalangi suatu pihak memenuhi kewajibannya, para pihak dapat menangguhkan pemrosesan hingga kepatuhan tercapai. Jika tidak terselesaikan dalam **90 hari**, salah satu pihak dapat mengakhiri dengan efek langsung melalui pemberitahuan. --- ## Pengembalian dan Pemusnahan Data - **Atas permintaan**, Shoprocket memberi Anda (atau pihak ketiga yang Anda tunjuk secara tertulis) salinan atau akses ke Data Pribadi dalam format yang Anda tentukan (jika wajar). - **Saat pengakhiran**, Shoprocket mengembalikan atau menghapus Data Pribadi kecuali penyimpanan lanjutan diwajibkan secara hukum. Jika penghapusan tidak praktis atau ilegal, Shoprocket memblokir pemrosesan lebih lanjut dan terus melindungi data tersebut. - **Sertifikasi SCC**: Jika SCC berlaku, Shoprocket akan mensertifikasi penghapusan berdasarkan Klausul 8.1(d) SCC UE (atau SCC Inggris) atas permintaan tertulis Anda. - Jika hukum/peraturan mewajibkan Shoprocket menyimpan data tertentu, Shoprocket akan memberi tahu Anda dasar, jangka waktu, lalu menghapusnya ketika tidak lagi diwajibkan. - Shoprocket mensertifikasi penghapusan dalam **30 hari** setelah menyelesaikannya. --- ## Catatan Shoprocket menyimpan catatan yang rinci, akurat, dan terbaru atas semua pemrosesan Data Pribadi (misalnya langkah keamanan, sub-pemroses, tujuan pemrosesan, transfer internasional apa pun). Catatan ini harus memungkinkan Anda memverifikasi kepatuhan Shoprocket. Salinan diberikan atas permintaan. --- ## Jaminan Shoprocket menjamin bahwa: 1. Karyawan, subkontraktor, atau agennya yang memiliki akses ke Data Pribadi dapat diandalkan, dipercaya, dan dilatih dengan layak. 2. Shoprocket akan memproses Data Pribadi dengan kepatuhan penuh terhadap Perundang-undangan Perlindungan Data dan hukum terkait. 3. Shoprocket tidak memiliki alasan untuk meyakini bahwa hukum melarang penyediaan Layanan yang disepakati. 4. Dengan mempertimbangkan teknologi dan biaya, Shoprocket akan mengambil langkah yang sesuai untuk mencegah pemrosesan yang tidak sah atau kerusakan/kehilangan yang tidak disengaja, memastikan keamanan yang sebanding dengan risiko dan sensitivitas data. --- ## Pelaksanaan dan Perubahan Dengan menandatangani Perjanjian, Anda menyetujui dan terikat oleh Adendum ini. Shoprocket dapat memperbarui Adendum ini dengan **pemberitahuan tertulis 30 hari** jika diperlukan karena alasan hukum atau regulasi. Jika Anda berkeberatan dan tidak tercapai solusi bersama, Anda dapat mengakhiri Layanan yang terdampak melalui pemberitahuan tertulis dalam jangka waktu tersebut (dengan tetap membayar biaya yang telah timbul). Tidak ada klaim lebih lanjut yang timbul dari pengakhiran tersebut. ## Lampiran A **Standar Keamanan Shoprocket** (Istilah dengan huruf kapital yang tidak didefinisikan di sini memiliki arti sebagaimana diberikan dalam Adendum.) Lampiran ini menguraikan langkah teknis dan organisasi Shoprocket untuk: 1. Mengamankan Data Pribadi dari kehilangan, akses, atau pengungkapan yang tidak disengaja atau melanggar hukum; 2. Mengidentifikasi risiko keamanan yang dapat diperkirakan dan mencegah akses tidak sah ke Layanan (termasuk akun Shoprocket Anda); 3. Meminimalkan risiko keamanan melalui penilaian risiko dan pengujian. Shoprocket menunjuk satu atau lebih karyawan untuk mengawasi praktik keamanan informasi ini dan menanggapi pertanyaan terkait. --- ## 1. Model Tanggung Jawab Bersama Shoprocket adalah aplikasi **SaaS berbasis cloud** yang dihosting oleh: - **Amazon Web Services (AWS)** di wilayah eu-west-1 (Irlandia) - **Hetzner Online** di Falkenstein, Jerman **AWS** menjalankan platform utama Shoprocket, infrastruktur, dan hosting data. **Hetzner Online** menyediakan ruang server khusus tambahan untuk gambar, unduhan digital, log, dan faktur. Berdasarkan model ini: - **Shoprocket** mengelola keamanan tingkat aplikasi (misalnya akses pengguna, patch aplikasi). - **AWS / Hetzner** mengelola keamanan fisik dan lingkungan cloud yang mendasarinya. Untuk detail lebih lanjut tentang keamanan AWS dan Hetzner, silakan lihat dokumentasi masing-masing. --- ## 2. Server AWS dan Hetzner Online ### AWS Shoprocket memilih AWS setelah peninjauan cermat berdasarkan Pasal 28(3)(c) dan 32 GDPR Inggris. AWS tersertifikasi berdasarkan berbagai standar (misalnya SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) dan menyediakan dokumentasi kepatuhan yang luas. Shoprocket mengonfigurasi AWS untuk menyimpan Data Pribadi hanya di UE/EEA. ### Hetzner Online Hetzner Online, yang tersertifikasi DIN ISO/IEC 27001, menyediakan ruang server khusus untuk cadangan data dan log tertentu. Pusat data Hetzner Online di Nuremberg dan Falkenstein diaudit dan disertifikasi oleh pihak ketiga, dengan menerapkan Sistem Manajemen Keamanan Informasi (ISMS). --- ## 3. Desain, Integritas, dan Ketersediaan Aplikasi Shoprocket - **Arsitektur**: Dibangun dengan framework JavaScript, aplikasi Shoprocket mengandalkan Amazon Relational Database Service (Amazon RDS) untuk MySQL. - **Kinerja Tinggi dan Redundansi**: AWS menangani load balancing secara otomatis, dan Shoprocket menyimpan cadangan harian di Amazon S3. Cadangan disimpan di wilayah AWS yang berbeda demi ketahanan. Selain itu, cadangan disimpan di server khusus Hetzner Online (dengan sistem disk RAID-1). - **Keamanan Sejak Desain**: Shoprocket secara berkala memeriksa kerentanan web yang diketahui (misalnya OWASP Top Ten) dan menerapkan perlindungan XSS serta sanitasi. Pihak ketiga spesialis menguji kode dan infrastruktur setiap tahun untuk mencari kerentanan, dilengkapi dengan layanan pemindaian kerentanan pihak ketiga. --- ## 4. Enkripsi - **Saat Disimpan**: Data Pribadi di AWS/Hetzner dienkripsi menggunakan **AES-256** atau lebih tinggi. - **Manajemen Kunci**: AWS Key Management Service (KMS) memastikan tidak ada yang (termasuk staf AWS) dapat mengakses kunci plaintext; kunci dirotasi setiap tahun. Hetzner menerapkan enkripsi AES-256 seluruh disk ditambah autentikasi wajib. - **Saat Dikirim**: Semua transfer data eksternal menggunakan **TLS 1.2+**. API dan antarmuka web mewajibkan HTTPS (tanpa koneksi tidak terenkripsi). --- ## 5. Pembatasan Lokasi Server di EEA/UE Shoprocket menyimpan data **secara eksklusif di EEA** (AWS di Irlandia, Hetzner di Jerman), meminimalkan risiko terkait transfer data ke luar EEA (misalnya kepatuhan terhadap putusan Schrems II). --- ## 6. Zona Ketersediaan Sistem front-end/back-end Shoprocket **didistribusikan secara redundan** di beberapa zona ketersediaan (baik AWS maupun Hetzner). Setiap zona memiliki beberapa ISP, sumber daya listrik, dan tautan berkecepatan tinggi, yang menjamin ketersediaan tinggi dan kinerja optimal. --- ## 7. Deteksi Intrusi Shoprocket menggunakan **Sistem Deteksi Intrusi (IDS)** untuk memantau: - File log untuk entri yang tidak biasa, - Perubahan integritas file, - Lalu lintas jaringan (spoofing, eksploitasi yang diketahui, rootkit), - Perubahan port, dan - Peristiwa akun AWS (misalnya perubahan konfigurasi). Anomali kritis memicu langkah pencegahan otomatis. IDS juga mendukung persyaratan PCI DSS 3.0. --- ## 8. Pencatatan / Jejak Audit Shoprocket mencatat: - Peristiwa sistem, - Kesalahan, - Aktivitas pengguna, - Login/permintaan database, - Peristiwa terkait keamanan lainnya. Dengan **AWS CloudTrail**, Shoprocket merekam semua peristiwa di lingkungan cloud-nya demi transparansi dan forensik. --- ## 9. Pemantauan Shoprocket menggunakan berbagai **alat pemantauan** untuk memastikan ketersediaan dan kinerja, dengan melacak: - **Ketersediaan**: Aksesibilitas aplikasi, kesehatan backend/sistem; - **Sumber daya**: CPU, antarmuka jaringan, penggunaan penyimpanan; - **Kinerja**: Waktu respons aplikasi/database; - **Keamanan**: Status IDS, pembaruan sistem, log kesalahan/akses. Staf Shoprocket juga memantau pembaruan keamanan, laporan kerentanan, dan blog keamanan yang relevan (seperti OWASP). --- ## 10. Audit Keamanan dan Uji Penetrasi Shoprocket secara berkala melakukan **pengujian keamanan internal dan eksternal**. Penyedia eksternal memeriksa kerentanan, sementara audit internal menilai efektivitas langkah teknis dan organisasi. --- ## 11. Manajemen Perubahan Shoprocket memelihara **repositori** dengan kontrol versi untuk perubahan kode, dengan lingkungan staging yang mencerminkan produksi. Perubahan diuji sebelum diterapkan, sehingga waktu/isi perubahan dapat dilacak. --- ## 12. Kontrol Akses - **Prinsip Need-to-Know**: Hanya karyawan yang perannya memerlukan akses sistem yang mendapatkannya. - **Sistem IAM**: Kontrol akses menggunakan manajemen identitas AWS/Hetzner. - **Keamanan**: Sistem backend hanya dapat diakses melalui koneksi yang aman dan terautentikasi. Sangat sedikit personel yang memiliki akses langsung ke data untuk keperluan diagnostik; akses tersebut dicatat dan dipantau. ## Lampiran B **Transfer Lintas Batas** ## BAGIAN 1 - Transfer ex-EEA 1. **Lampiran I.A Klausul Kontrak Standar (SCC)** - **Pengekspor Data**: Anda (sesuai Perjanjian). - Detail kontak: Sebagaimana dalam Perjanjian. - Peran: Pengendali Data. - **Modul Satu**: Pengimpor Data adalah Pengendali Data (untuk Data Akun Klien & Data Penggunaan Klien). - **Modul Dua**: Pengimpor Data adalah Pemroses Data (untuk semua Data Pribadi lainnya). - Tanda tangan/Tanggal: Dengan memasuki Perjanjian & DPA, Pengekspor Data dianggap telah menandatangani SCC pada Tanggal Efektif. - **Pengimpor Data**: Shoprocket. - Detail kontak: Sebagaimana dalam Perjanjian. - Tanda tangan/Tanggal: Dengan memasuki Perjanjian & DPA, Pengimpor Data dianggap telah menandatangani SCC pada Tanggal Efektif. 2. **Lampiran I.B SCC** - Subjek Data: Dijelaskan dalam klausul Adendum 4.6. - Kategori Data Pribadi: Dijelaskan dalam klausul Adendum 4.5. - Tidak ada Data Kategori Khusus yang dimaksudkan untuk ditransfer. - Frekuensi: Berkelanjutan selama jangka waktu Perjanjian. - Sifat: Lihat klausul Adendum 4.4. - Tujuan: Lihat klausul Adendum 4.3. - Penyimpanan: Selama jangka waktu Perjanjian kecuali dinyatakan lain. - Transfer Sub-pemroses: Pokok bahasan, sifat, dan durasi sesuai klausul Adendum 9. 3. **Lampiran I.C SCC** - Otoritas Pengawas yang Berwenang: Sebagaimana dalam klausul 10(e) Adendum. - **Standar Keamanan Shoprocket (Lampiran A)** memenuhi persyaratan Lampiran II SCC. 4. **Konflik** - Jika terjadi konflik antara SCC dan DPA atau Perjanjian, SCC yang berlaku. --- ## BAGIAN 2 - Transfer ex-UK 1. **Addendum IDTA** berlaku untuk Transfer ex-UK, efektif **21 Maret 2022**. 2. Istilah yang tidak didefinisikan dalam Perjanjian atau DPA mengikuti arti dalam **Bagian 2 Lampiran 2** (Klausul Wajib). ### Bagian 1: Tabel ### Tabel 1 Addendum IDTA 1. **Tabel 1** - **Pengekspor Data**: Anda (sesuai Perjanjian). - Detail kontak: Sebagaimana dalam Perjanjian. - Tanda tangan/Tanggal: Dengan memasuki Perjanjian & Adendum, Pengekspor dianggap telah menandatangani Addendum IDTA pada Tanggal Efektif. - **Pengimpor Data**: Shoprocket. - Detail kontak: Sebagaimana dalam Perjanjian. - Tanda tangan/Tanggal: Dengan memasuki Perjanjian & DPA, Pengimpor dianggap telah menandatangani Addendum IDTA pada Tanggal Efektif. ### Tabel 2 Addendum IDTA 1. **Tabel 2** - **SCC UE yang Disetujui**: Klausul/modul dari SCC UE yang Disetujui yang berlaku untuk Adendum ini. - Modul/klausul yang digunakan: - Modul 1 dan Modul 2, Klausul 7 dan Klausul 11 (opsi) tidak berlaku, Klausul 9a adalah Otorisasi Umum dengan masa pemberitahuan 30 hari (klausul Adendum 9.2). - Tidak ada penggabungan Data Pribadi dari Pengimpor dengan data Pengekspor. ### Tabel 3 Addendum IDTA 1. **Lampiran I.A** - **Pengekspor Data**: Anda (pengendali). - **Pengimpor Data**: Shoprocket (pengendali untuk Data Akun/Penggunaan Klien; pemroses untuk Data Pribadi lainnya). - Tanda tangan/Tanggal: Dianggap ditandatangani saat memasuki Perjanjian & DPA. 2. **Lampiran I.B** - Subjek data, kategori data, tidak adanya Data Kategori Khusus, transfer berkelanjutan, sifat/tujuan pemrosesan, dan penyimpanan sesuai dengan klausul Adendum 4.4, 4.3, 4.5, 4.6. - Informasi Sub-pemroses sesuai klausul Adendum 9. - Lampiran III (daftar Sub-pemroses) tidak berlaku, karena Shoprocket menggunakan otorisasi umum. ### Tabel 4 Addendum IDTA 1. Pengimpor dapat mengakhiri Addendum IDTA ini berdasarkan klausul 26 Addendum IDTA ini. ### Bagian 2: Klausul Wajib 1. Setiap Pihak terikat oleh ketentuan Addendum IDTA ini sebagai imbalan atas persetujuan Pihak lainnya, sehingga subjek data dapat menegakkan hak sebagaimana dinyatakan. 2. Memasuki Addendum IDTA ini sama dengan menandatangani SCC UE yang Disetujui (termasuk tanda tangan yang diwajibkan menurut Lampiran 1A/Klausul 7). ### Penafsiran 1. Istilah dari SCC UE yang Disetujui memiliki arti yang sama di sini; istilah relevan tambahan (misalnya "SCC UE Addendum," "Addendum yang Disetujui," "Hukum Perlindungan Data Inggris") didefinisikan dalam Addendum IDTA ini. 2. Addendum IDTA ini harus ditafsirkan secara konsisten dengan Hukum Perlindungan Data Inggris dan harus memenuhi "Pengamanan yang Sesuai." 3. Setiap perubahan pada SCC UE yang Disetujui yang tidak diizinkan olehnya atau oleh Addendum yang Disetujui adalah batal. Ketentuan yang bertentangan kembali ke ketentuan SCC yang tidak diubah. 4. Jika terdapat konflik dengan Hukum Perlindungan Data Inggris, yang terakhir yang berlaku. 5. Ambiguitas apa pun diselesaikan dengan cara yang paling selaras dengan Hukum Perlindungan Data Inggris. 6. Rujukan pada peraturan perundang-undangan mencakup versi revisi atau konsolidasinya. ### Hierarki 1. Klausul 5 SCC UE yang Disetujui menyatakan bahwa SCC tersebut berlaku di atas perjanjian lain, tetapi untuk Transfer Terbatas, hierarki dalam Bagian 17 di bawah ini yang berlaku. 2. Jika tidak konsisten atau bertentangan dengan SCC UE yang Disetujui, Addendum yang Disetujui mengesampingkan kecuali jika SCC memberikan **perlindungan lebih besar** kepada subjek data, dalam hal ini ketentuan SCC yang mengesampingkan. 3. Tidak ada di sini yang memengaruhi SCC apa pun yang digunakan para pihak untuk kepatuhan GDPR UE. ### Penggabungan dan Perubahan pada SCC UE 1. Addendum IDTA menggabungkan SCC UE yang Disetujui dengan modifikasi yang diperlukan agar berfungsi untuk transfer terkait Inggris, mengesampingkan hierarki Klausul 5, dan memastikan SCC tersebut diatur oleh **hukum/pengadilan Inggris** (kecuali dipilih lain untuk Skotlandia atau Irlandia Utara). 2. Jika tidak ada alternatif khusus yang disepakati, Bagian 22 berlaku. 3. Tidak ada perubahan lebih lanjut pada SCC UE yang Disetujui yang diizinkan selain yang diperlukan dalam Bagian 19. 4. **Perubahan** pada SCC UE Addendum mencakup klarifikasi mengenai rujukan pada Hukum Perlindungan Data Inggris, mengganti rujukan pada Peraturan (UE) 2016/679 dengan "Hukum Perlindungan Data Inggris," menghapus rujukan pada Peraturan (UE) 2018/1725, menyesuaikan Klausul 17/18 dengan hukum/pengadilan Inggris, dan sebagainya. Catatan kaki bukan bagian dari IDTA kecuali catatan kaki 8, 9, 10, 11. ### Perubahan pada IDTA ini 1. Para pihak dapat mengubah Klausul 17 atau 18 untuk merujuk pada pengadilan Skotlandia atau Irlandia Utara. 2. Para pihak juga dapat menyesuaikan format Tabel berdasarkan kesepakatan tertulis bersama, dengan memastikan tingkat perlindungan yang sama tetap terjaga. 3. ICO dapat menerbitkan Addendum yang Disetujui yang direvisi dari waktu ke waktu, yang secara otomatis mengubah Addendum IDTA ini sejak tanggal efektifnya, dan mungkin memerlukan peninjauan oleh para pihak. 4. Jika perubahan ICO secara substansial dan tidak proporsional meningkatkan biaya atau risiko suatu pihak, dan pengurangan biaya/risiko tersebut tidak memungkinkan, pihak tersebut dapat mengakhiri IDTA ini dengan pemberitahuan yang wajar kepada pihak lain sebelum Addendum yang direvisi berlaku. 5. Tidak diperlukan persetujuan pihak ketiga untuk perubahan, tetapi modifikasi harus memenuhi ketentuan Addendum IDTA ini. --- - HTML version: https://v3.shoprocket.io/id/gdpr - Language: Bahasa Indonesia (id) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)