Skip to main content
Dewata Tech LogoDEWATA TECH

Data Processing Agreement (DPA)

Perjanjian pemrosesan data antara Dewata Tech sebagai Prosesor dan Klien sebagai Pengendali, melengkapi perjanjian layanan utama kami.

Terakhir diperbarui: 15 September 2026

1. Pendahuluan

Data Processing Agreement ("DPA") ini merupakan dokumen pelengkap dari perjanjian layanan utama (Master Services Agreement) antara Dewata Tech ("Prosesor") dan Klien ("Pengendali"). DPA ini berlaku setiap kali Dewata Tech memproses Data Pribadi atas nama Klien dalam rangka penyediaan layanan pengembangan website, hosting, analitik, lead capture, sistem booking properti, dan layanan terkait lainnya. Halaman ini adalah versi publik untuk dibaca sebelum kerja sama; DPA mengikat setelah diteken sebagai lampiran kontrak layanan.

DPA ini disusun untuk memenuhi kewajiban berdasarkan Undang-Undang Republik Indonesia No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP"). Bagi Klien internasional, DPA ini juga merujuk pada prinsip General Data Protection Regulation (GDPR) Uni Eropa, khususnya Pasal 28 mengenai hubungan Pengendali dan Prosesor. Apabila terdapat pertentangan antara DPA ini dengan perjanjian utama, ketentuan DPA ini akan berlaku khusus untuk perlindungan data.

2. Definisi

Untuk keperluan DPA ini, istilah berikut memiliki arti sebagai berikut:

  • Pengendali (Controller): Klien yang menentukan tujuan dan cara pemrosesan Data Pribadi, sebagaimana didefinisikan dalam Pasal 1 angka 4 UU PDP.
  • Prosesor (Processor): Dewata Tech yang memproses Data Pribadi atas nama dan berdasarkan instruksi tertulis Pengendali, sebagaimana didefinisikan dalam Pasal 1 angka 5 UU PDP.
  • Data Pribadi (Personal Data): Setiap data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, baik secara langsung maupun tidak langsung, baik bersifat umum maupun spesifik, sesuai Pasal 1 angka 1 UU PDP.
  • Subjek Data (Data Subject): Orang perseorangan yang Data Pribadinya melekat pada dirinya, mencakup pengunjung website, lead, tamu booking villa, klien properti, dan karyawan Pengendali.
  • Sub-Prosesor (Sub-Processor): Pihak ketiga yang ditunjuk oleh Prosesor untuk memproses Data Pribadi atas nama Pengendali, termasuk penyedia hosting, analitik, dan platform iklan.
  • Pelanggaran Data (Data Breach): Insiden keamanan yang mengakibatkan akses tidak sah, kehilangan, perubahan, atau pengungkapan Data Pribadi yang diproses.

3. Lingkup dan Objek Pemrosesan

DPA ini mengatur pemrosesan Data Pribadi yang dilakukan Dewata Tech dalam rangka memberikan layanan kepada Klien. Lingkup pemrosesan mencakup:

  • Hosting website dan aplikasi: Penyimpanan konten, file media, dan database yang berisi Data Pribadi visitor atau pelanggan Klien.
  • Analitik dan pelacakan: Pengumpulan data perilaku pengunjung melalui Google Analytics 4, Microsoft Clarity, dan Meta Pixel atas instruksi Klien.
  • Lead capture dan formulir kontak: Pemrosesan nama, email, nomor telepon, perusahaan, dan pesan yang dikirim melalui formulir Klien.
  • Sistem booking dan property management: Untuk klien villa, hotel, dan agensi real estate, pemrosesan data tamu booking, calon pembeli, dan inquiry properti.
  • Email transaksional dan notifikasi: Pengiriman konfirmasi booking, balasan inquiry, dan notifikasi sistem atas nama Klien.

Durasi pemrosesan adalah selama perjanjian layanan berlaku, ditambah periode retensi yang disepakati untuk keperluan backup dan kepatuhan hukum.

4. Peran dan Tanggung Jawab

Klien bertindak sebagai Pengendali yang menentukan tujuan, dasar hukum, dan cara pemrosesan Data Pribadi. Klien bertanggung jawab atas keabsahan persetujuan Subjek Data, transparansi terhadap Subjek Data, dan kepatuhan terhadap UU PDP serta peraturan lain yang berlaku pada bisnis Klien.

Dewata Tech bertindak sebagai Prosesor yang memproses Data Pribadi semata-mata atas instruksi tertulis Klien. Dewata Tech tidak akan menggunakan Data Pribadi Klien untuk tujuan internal Dewata Tech, tidak menjual atau membagikan data kepada pihak ketiga di luar Sub-Prosesor yang disetujui, dan tidak melakukan pemrosesan tambahan tanpa persetujuan tertulis Klien.

5. Kewajiban Prosesor

Sebagai Prosesor, Dewata Tech berkomitmen pada kewajiban berikut:

  • Memproses Data Pribadi hanya berdasarkan instruksi tertulis Pengendali yang terdokumentasi, termasuk untuk transfer Data Pribadi ke negara lain, kecuali diwajibkan oleh hukum Indonesia.
  • Menjaga kerahasiaan: akses ke Data Pribadi Klien terbatas pada orang yang mengerjakan proyek, dan setiap orang itu terikat kewajiban kerahasiaan tertulis. Orang baru menandatangani kewajiban kerahasiaan yang sama sebelum akses diberikan.
  • Menerapkan langkah-langkah keamanan teknis dan organisasi yang sesuai sebagaimana diatur dalam Bagian 8 DPA ini.
  • Memberitahukan pelanggaran data kepada Pengendali paling lambat 24 jam sejak Prosesor mengetahuinya, dengan informasi yang sudah diketahui saat itu: Data Pribadi yang terdampak, kapan dan bagaimana pelanggaran terjadi, perkiraan jumlah Subjek Data yang terdampak, serta langkah penanganan dan pemulihan. Informasi yang belum lengkap kami susulkan begitu tersedia, supaya Pengendali dapat memenuhi kewajiban pemberitahuan tertulis 3x24 jam dalam Pasal 46 ayat 1 UU PDP.
  • Membantu Pengendali memenuhi kewajibannya kepada Subjek Data dan otoritas pengawas, termasuk dalam hal Data Protection Impact Assessment (DPIA) jika diperlukan.
  • Menghapus atau mengembalikan seluruh Data Pribadi pada akhir penyediaan layanan, sesuai pilihan Pengendali, kecuali penyimpanan diwajibkan oleh hukum yang berlaku.

6. Sub-Prosesor

Otorisasi Pengendali untuk memakai Sub-Prosesor diberikan di kontrak atau lampiran DPA yang diteken, bukan oleh halaman ini. Daftar di bawah adalah Sub-Prosesor yang kami pakai saat ini; lampiran kontrak memuat yang berlaku untuk proyek Klien:

  • Vercel Inc. (Amerika Serikat, dengan edge network global): hosting dan deployment Situs Web dan aplikasi Next.js Klien, untuk proyek yang memakai Vercel.
  • Supabase, Inc. (Singapura, Amerika Serikat): database, autentikasi, dan storage untuk aplikasi yang memakainya.
  • Sanity.io (Amerika Serikat, EU): CMS untuk konten website dan blog.
  • Cloudflare, Inc. (global): hosting Situs Web Klien untuk proyek yang memakai Cloudflare, dan Workers untuk jembatan pembayaran booking engine villa.
  • Resend (Amerika Serikat): email transaksional dari aplikasi Klien.
  • Google LLC (global): Google Analytics 4, Google Tag Manager, dan Google Ads.
  • Meta Platforms, Inc. (global): Meta Pixel, Conversions API, dan WhatsApp.
  • TikTok (global): TikTok Pixel dan Events API.
  • Microsoft Corporation (global): Microsoft Clarity untuk rekaman sesi dan heatmap.
  • Khusus klien booking engine: Beds24, STAAH, atau Cloudbeds sesuai tool yang dipilih, serta gateway pembayaran Midtrans, Xendit, atau DOKU. Akun tool dan gateway ini atas nama Klien.
  • Khusus klien AI chatbot: penyedia model AI yang dipakai proyek, yaitu OpenAI, Anthropic, atau Google (Gemini).
  • Hostinger International Ltd. (global): hosting Situs Web Klien dan email bisnis, untuk proyek yang memakai Hostinger.

Dewata Tech akan memberitahukan Pengendali secara tertulis paling lambat 30 hari sebelum penambahan atau penggantian Sub-Prosesor. Pengendali berhak mengajukan keberatan secara tertulis dengan alasan yang wajar terkait perlindungan data. Apabila keberatan tidak dapat diselesaikan, Pengendali berhak mengakhiri layanan terkait tanpa penalti. Setiap Sub-Prosesor memproses data berdasarkan ketentuan pemrosesan data yang diterbitkan penyedia itu. Untuk penyedia besar seperti Google, Meta, TikTok, dan Microsoft, ketentuan itu ditetapkan penyedia dan tidak dapat kami ubah.

7. Hak Subjek Data

Dewata Tech akan membantu Pengendali memenuhi hak-hak Subjek Data sebagaimana diatur dalam Pasal 5 sampai dengan Pasal 15 UU PDP, mencakup:

  • Hak untuk memperoleh informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan Data Pribadi, serta akuntabilitas pihak yang meminta Data Pribadi.
  • Hak akses (right of access): mendapatkan salinan Data Pribadi yang diproses dalam format yang dapat dibaca.
  • Hak rektifikasi (right to rectification): meminta perbaikan atau pembaruan Data Pribadi yang tidak akurat atau tidak lengkap.
  • Hak penghapusan (right to erasure): meminta penghapusan Data Pribadi sesuai ketentuan UU PDP.
  • Hak pembatasan pemrosesan dan hak keberatan terhadap pemrosesan, termasuk profiling otomatis.
  • Hak portabilitas data: menerima Data Pribadi dalam format terstruktur, umum digunakan, dan dapat dibaca mesin.

Apabila Subjek Data menghubungi Dewata Tech secara langsung dengan permintaan terkait haknya, Dewata Tech meneruskan permintaan tersebut kepada Pengendali paling lambat 1 hari kerja, kecuali instruksi tertulis Pengendali menyatakan lain. Dewata Tech menyediakan ekstraksi data dan, sejauh platform yang dipakai menyediakannya, log akses yang dibutuhkan Pengendali untuk memenuhi tenggat UU PDP, yang untuk beberapa permintaan hanya 3x24 jam sejak Pengendali menerimanya, misalnya akses (Pasal 32 ayat 2) dan penghentian pemrosesan (Pasal 40 ayat 2).

8. Langkah-Langkah Keamanan

Dewata Tech menerapkan langkah-langkah keamanan teknis dan organisasi yang sesuai dengan tingkat risiko dan skala layanan:

  • Enkripsi data dalam transit dengan HTTPS (TLS 1.2 atau lebih baru) untuk komunikasi website, API, dan webhook yang kami kelola.
  • Enkripsi data saat tersimpan mengikuti enkripsi yang disediakan penyedia hosting, database, dan CMS yang dipakai proyek.
  • Autentikasi dua langkah (MFA) diwajibkan pada akun admin yang kami kelola: panel hosting, CMS, database, dan repositori kode. Untuk akun atas nama Klien, seperti Beds24, STAAH, Cloudbeds, atau payment gateway, kami sarankan dan bantu menyalakannya.
  • Akses dibatasi pada orang yang mengerjakan proyek, dengan hak akses sesuai kebutuhan pekerjaan. Log akses tersedia sejauh platform yang dipakai menyediakannya; tidak semua platform mencatat setiap akses ke Data Pribadi.
  • Backup hanya ada kalau layanan yang diambil Klien memuatnya, dan jadwalnya tertulis di kontrak: harian di Care Standard, mingguan di Care Lite, dan backup konfigurasi booking engine selama Jaga atau pengelolaan berjalan. Tanpa layanan itu, tidak ada backup dari kami di luar yang disediakan penyedia hosting atau database.
  • Header keamanan HTTP, yaitu Content Security Policy, Strict-Transport-Security, X-Frame-Options, dan X-Content-Type-Options, sebagai standar pada website Next.js yang kami bangun. Kalau ada yang belum terpasang, kami pasang tanpa biaya atas permintaan Klien.
  • Pembaruan keamanan mengikuti layanan yang berjalan: pembaruan keamanan platform lewat biaya tahunan website, dan update library lewat Care Plan. Sistem operasi server dan runtime dikelola penyedia hosting.
  • Pemantauan uptime dan notifikasi error dari penyedia hosting. Log ditinjau saat ada insiden atau atas permintaan Pengendali.

9. Transfer dan Penyimpanan Data

Lokasi penyimpanan utama Data Pribadi adalah sebagai berikut:

  • Hosting: umumnya Cloudflare (Workers atau Pages) atau Vercel, sesekali Hostinger, dipilih per proyek dan disebut di kontrak, dengan region yang ditetapkan per proyek.
  • Database aplikasi: Supabase, di region yang ditetapkan per proyek.
  • Konten CMS: Sanity, di infrastruktur Amerika Serikat atau EU.
  • Logging dan analitik: Google Analytics, Microsoft Clarity, Meta, dan TikTok menyimpan data pada infrastruktur global penyedia masing-masing.

Karena penyimpanan utama berada di luar Indonesia, transfer Data Pribadi lintas batas mengikuti Pasal 56 UU PDP: negara penerima memiliki tingkat pelindungan yang setara atau lebih tinggi, atau tersedia pelindungan yang memadai dan bersifat mengikat, atau Subjek Data memberikan persetujuan. Pelindungan yang kami andalkan adalah ketentuan kontraktual pemrosesan data dari masing-masing penyedia. Klien yang tunduk pada GDPR dapat meminta dasar transfernya, misalnya Standard Contractual Clauses (SCCs) dalam ketentuan penyedia, dicantumkan di lampiran kontrak.

10. Jangka Waktu dan Pengakhiran

DPA ini berlaku efektif sejak penandatanganan perjanjian layanan utama dan tetap berlaku selama Dewata Tech memproses Data Pribadi atas nama Klien. DPA ini secara otomatis berakhir pada saat perjanjian layanan utama berakhir, kecuali untuk ketentuan yang berdasarkan sifatnya tetap berlaku setelah pengakhiran, seperti kerahasiaan dan kewajiban audit.

Pada saat pengakhiran, Dewata Tech akan menyediakan ekspor lengkap Data Pribadi Klien dalam format JSON, CSV, atau SQL dump sesuai permintaan, dalam waktu 14 hari kerja. Setelah ekspor diterima dan dikonfirmasi Klien, Dewata Tech akan menghapus seluruh Data Pribadi dari sistem produksi dalam waktu 30 hari, dan dari backup yang kami kelola paling lambat saat masa simpan backup itu berakhir, kecuali penyimpanan diwajibkan oleh hukum Indonesia. Surat pernyataan penghapusan diberikan kepada Klien atas permintaan.

11. Tanggung Jawab dan Hak Audit

Klien sebagai Pengendali memiliki hak untuk melakukan audit kepatuhan Dewata Tech terhadap DPA ini, dengan ketentuan:

  • Pemberitahuan tertulis paling lambat 14 hari kerja sebelum pelaksanaan audit.
  • Audit dilakukan pada hari kerja, di luar masa kritis operasional, dan tidak mengganggu layanan kepada Klien lain.
  • Auditor pihak ketiga harus terikat perjanjian kerahasiaan dan tidak boleh merupakan kompetitor langsung Dewata Tech.
  • Frekuensi audit maksimal satu kali per tahun, kecuali setelah insiden pelanggaran data.
  • Lingkup audit terbatas pada kepatuhan DPA dan UU PDP / GDPR, tidak melampaui kebutuhan tersebut.

Sebagai alternatif audit langsung, Dewata Tech dapat mengisi kuesioner kepatuhan dari Klien beserta dokumen pendukungnya. Dewata Tech belum memiliki laporan audit keamanan dari pihak ketiga. Tanggung jawab masing-masing pihak atas pelanggaran DPA mengikuti ketentuan tanggung jawab pada perjanjian layanan utama, dengan tetap mengacu pada batas dan pengecualian sebagaimana diatur UU PDP serta GDPR yang berlaku.

12. Kontak Pelindungan Data

Dewata Tech belum menunjuk pejabat pelindungan data pribadi tersendiri. Pertanyaan, permintaan, atau pemberitahuan terkait DPA ini dan pemrosesan Data Pribadi ditangani langsung oleh pendiri Dewata Tech lewat kontak pelindungan data berikut:

  • Nama Perusahaan: PT Dewata Artificial Intelligence (Dewata Tech)
  • Email kontak pelindungan data: contact@dewatatech.com
  • Telepon dan WhatsApp: +62 851-7975-5016
  • Alamat Kantor: Jl. Sakura Gg. I No.3, Dangin Puri Kangin, Denpasar Utara, Bali 80233, Indonesia
  • Jam respons: Hari kerja Senin sampai Sabtu, pukul 09.00 sampai 18.00 WITA

Untuk insiden pelanggaran data atau permintaan mendesak terkait hak Subjek Data, kirim WhatsApp dengan awalan "DATA PRIBADI MENDESAK". Di luar jam kerja, permintaan mendesak kami tanggapi paling lambat hari kerja berikutnya. Pelanggaran data yang menyangkut data Klien kami beritahukan kepada Klien paling lambat 24 jam sejak kami mengetahuinya, sesuai Bagian 5.