Data Processing Agreement (DPA)

1. Ruang Lingkup & Peran

• Pengendali (Controller) menentukan tujuan dan cara pengolahan data pribadi.
• Pemroses (Processor) — OneXI — mengolah data pribadi hanya berdasarkan instruksi Pengendali.
• DPA ini berlaku atas semua aktivitas pengolahan dalam penyediaan Layanan.

2. Kewajiban OneXI sebagai Pemroses

1. Mengolah data pribadi hanya sesuai instruksi terdokumentasi dari Pengendali.
2. Menerapkan langkah teknis & organisasi yang sesuai (enkripsi, RLS, kontrol akses).
3. Membantu Pengendali dalam memenuhi permintaan subjek data.
4. Memberitahukan Pengendali tanpa penundaan yang tidak semestinya jika terjadi pelanggaran data, maksimal 3×24 jam.
5. Memastikan personel yang mengakses data terikat kewajiban kerahasiaan.

3. Sub-Pemroses

Pengendali memberikan persetujuan umum atas penggunaan sub-pemroses berikut. OneXI akan memberitahukan perubahan daftar sub-pemroses minimal 30 hari sebelumnya.

4. Transfer Data Lintas Negara

Untuk transfer ke luar Indonesia, OneXI menerapkan Standard Contractual Clauses (SCC) dan penilaian dampak transfer sesuai ketentuan UU PDP dan praktik GDPR.

5. Hak Audit

Pengendali berhak mengaudit kepatuhan OneXI paling banyak satu kali per tahun dengan pemberitahuan tertulis 30 hari sebelumnya. OneXI dapat menyediakan laporan pihak ketiga (mis. SOC 2) sebagai alternatif audit langsung.

6. Menandatangani DPA

Untuk mengeksekusi DPA ini secara resmi, kirim permintaan ke legal@onexi.id dengan subjek "Permintaan DPA". Kami akan mengirimkan versi siap tanda tangan dengan rincian pelanggan.