1. Peran dan definisi
Adendum Pemrosesan Data ("DPA") ini merupakan bagian dari Syarat dan Ketentuan antara Pronttera ("Pemroses", "kami") dan Toko ("Pengendali", "Anda"), dan berlaku setiap kali kami memproses data pribadi Pelanggan Akhir atas nama Anda melalui platform Frostique.
Untuk data pribadi Pelanggan Akhir yang diproses melalui etalase Anda, Anda adalah Pengendali Data — Anda menentukan tujuan dan cara pemrosesan — dan Pronttera adalah Pemroses Data Anda, yang memproses hanya atas nama Anda. "Data Pribadi", "Data Principal" (Pelanggan Akhir), "Data Fiduciary", dan istilah terkait memiliki arti yang diberikan dalam Digital Personal Data Protection Act, 2023 beserta aturan yang berlaku ("Hukum Perlindungan Data").
Data pribadi akun dan anggota tim Anda sendiri diproses oleh Pronttera sebagai Pengendali Data independen berdasarkan Kebijakan Privasi kami, dan berada di luar DPA ini.
2. Ruang lingkup pemrosesan
- Pokok perkara — menghosting dan mengoperasikan etalase white-label serta manajemen pesanan Anda di Frostique.
- Durasi — masa langganan, ditambah jendela penyimpanan 90 hari pasca-pembatalan yang dijelaskan di bagian 10.3 Syarat dan Ketentuan.
- Sifat dan tujuan — pengumpulan, penyimpanan, penampilan, dan transmisi data Pelanggan Akhir untuk menerima, memproses, dan memenuhi Pesanan; notifikasi status pesanan; serta fitur yang termasuk dalam paket Anda, seperti wishlist dan permintaan kue kustom.
- Data Principal — Pelanggan Akhir Anda: pengunjung dan pembeli di etalase.
- Kategori data — nama; telepon dan email; alamat pengiriman; detail dan riwayat pesanan; isi permintaan kue kustom; wishlist dan preferensi; data penggunaan etalase.
- Kategori khusus — tidak dimaksudkan untuk diproses. Anda tidak boleh mengarahkan pengiriman data sensitif melalui kolom teks bebas.
3. Kewajiban kami sebagai Pemroses
Kami akan:
- Memproses data pribadi Pelanggan Akhir hanya atas instruksi terdokumentasi Anda — konfigurasi dan penggunaan platform oleh Anda merupakan instruksi tersebut — dan bukan untuk tujuan kami sendiri. Kami tidak memakai data Pelanggan Akhir untuk pemasaran kami, dan tidak pernah menjualnya.
- Memastikan orang yang berwenang memproses data terikat kewajiban kerahasiaan.
- Menerapkan langkah keamanan teknis dan organisasi yang memadai, termasuk enkripsi saat transit, kontrol akses dan izin berbasis peran, pemisahan tenant secara logis, pencatatan audit atas peristiwa penagihan dan langganan, serta penanganan pembayaran yang didelegasikan ke gateway yang diatur RBI sehingga kredensial kartu dan UPI lengkap tidak pernah disimpan di platform.
- Membantu Anda dengan langkah yang wajar untuk menanggapi permintaan Data Principal atas akses, koreksi, dan penghapusan — melalui alat mandiri di dasbor bila tersedia, dan kerja sama untuk selebihnya.
- Memberi tahu Anda tanpa penundaan yang tidak wajar, dengan target 72 jam, setelah kami mengetahui adanya pelanggaran data pribadi yang memengaruhi data Pelanggan Akhir, disertai informasi yang wajar diperlukan untuk pemberitahuan Anda sendiri kepada Data Protection Board of India dan kepada Data Principal yang terdampak.
- Saat langganan Anda berakhir atau kedaluwarsa, menyimpan data dalam bentuk arsip selama 90 hari untuk reaktivasi atau ekspor atas permintaan Anda, lalu menghapusnya secara permanen — atau menghapusnya lebih awal atas instruksi tertulis Anda yang terverifikasi — kecuali bila penyimpanan diwajibkan hukum.
- Menyediakan informasi yang wajar diperlukan untuk menunjukkan kepatuhan pada DPA ini.
4. Sub-pemroses
Anda memberikan otorisasi umum untuk sub-pemroses di bawah ini. Kami mengenakan kewajiban perlindungan data kepada mereka yang selaras dengan DPA ini, dan tetap bertanggung jawab atas kinerja mereka:
- Razorpay Software Pvt. Ltd. (India) — pemrosesan pembayaran dan mandat autopay.
- Penyedia hosting cloud — infrastruktur, penyimpanan, dan cadangan.
- Penyedia email transaksional — pengiriman email layanan dan pesanan.
- Penyedia WhatsApp dan SMS (direncanakan) — notifikasi pesanan dan perpanjangan.
Kami akan memberi tahu, melalui email atau dasbor, mengenai rencana penambahan atau penggantian; bila Anda secara wajar keberatan atas dasar perlindungan data dan tidak ditemukan solusi, Anda dapat membatalkan sesuai Syarat dan Ketentuan. Nama penyedia dan wilayah pemrosesan terkini tersedia dari info@pronttera.com atas permintaan.
5. Kewajiban Anda sebagai Pengendali
Anda bertanggung jawab atas:
- Memiliki dasar hukum, termasuk persetujuan bila diperlukan, untuk mengumpulkan dan memproses data Pelanggan Akhir.
- Menerbitkan pemberitahuan privasi Anda sendiri kepada Pelanggan Akhir dan menghormatinya.
- Keakuratan dan keabsahan instruksi Anda kepada kami.
- Menanggapi permintaan dan keluhan Data Principal yang ditujukan kepada Anda.
- Menggunakan data Pelanggan Akhir di luar platform — misalnya hasil ekspor — sesuai Hukum Perlindungan Data.
6. Audit dan informasi
Tidak lebih dari sekali dalam periode 12 bulan, dan dengan pemberitahuan tertulis setidaknya 30 hari, Anda dapat meminta informasi tertulis — termasuk ringkasan praktik keamanan — yang wajar diperlukan untuk memverifikasi kepatuhan kami pada DPA ini.
Hak audit lebih lanjut, bila disepakati untuk paket Enterprise, akan diatur dalam order form terkait, dilakukan atas biaya Anda, pada jam kerja, dan tunduk pada kerahasiaan.
7. Tanggung jawab dan urutan keberlakuan
Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada pembatasan dan batas maksimum dalam bagian 18 Syarat dan Ketentuan. Urutan keberlakuan untuk hal perlindungan data adalah: DPA ini, lalu Kebijakan Privasi, lalu Syarat dan Ketentuan.
8. Hukum yang berlaku
DPA ini diatur oleh hukum India, dengan yurisdiksi eksklusif pengadilan di Pune, Maharashtra, India.
9. Kontak
Urusan perlindungan data dan pemberitahuan pelanggaran ditujukan kepada Grievance Officer kami — info@pronttera.com · +91 77678 25344 — Pronttera, KPCT Mall, Fatima Nagar, Pune, Maharashtra, India.