Perjanjian Pemprosesan Data

1. Skop

Perjanjian Pemprosesan Data ini ("DPA") membentuk sebahagian daripada Terma Perkhidmatan antara Webbalances Solution (003096168-D) ("Pemproses") dan Pelanggan ("Pengawal"). Ia terpakai kepada data peribadi yang kami proses bagi pihak Pelanggan dalam ruang kerja MetriCRM-nya ("Data Peribadi Pelanggan"). Istilah seperti pengawal data, pemproses data, data peribadi dan pemprosesan mempunyai maksud dalam Akta Perlindungan Data Peribadi 2010 ("PDPA").

2. Peranan

Pelanggan ialah pengawal data bagi Data Peribadi Pelanggan dan menentukan sebab dan cara ia diproses. Kami ialah pemproses data dan memprosesnya hanya bagi pihak Pelanggan.

3. Butiran pemprosesan

• Perkara dan tempoh: menyediakan MetriCRM sepanjang tempoh langganan dan tempoh eksport 30 hari selepasnya.
• Sifat dan tujuan: mengehos, menyimpan, menyusun, mendapatkan semula, menghantar dan menganalisis data sejauh yang perlu untuk menyediakan ciri yang digunakan oleh Pelanggan.
• Subjek data: pengguna Pelanggan, serta pelanggan, kenalan, prospek, penerima e-mel dan orang lain yang datanya disimpan oleh Pelanggan.
• Jenis data: butiran identiti dan hubungan, butiran organisasi, komunikasi seperti e-mel dan nota, sejarah kes dan perkhidmatan, serta data lain yang dipilih untuk disimpan oleh Pelanggan. Pelanggan hendaklah menyimpan data peribadi sensitif hanya apabila perlu dan sah di sisi undang-undang.

4. Tanggungjawab Pelanggan

Pelanggan bertanggungjawab untuk mempunyai asas yang sah bagi pemprosesan, memberi notis dan mendapatkan persetujuan yang dikehendaki oleh PDPA (termasuk bagi pemasaran langsung dan siaran e-mel), ketepatan data, dan mengkonfigurasi ruang kerjanya (pengguna, peranan, penyimpanan dan tetapan AI) mengikut keperluannya.

5. Kewajipan kami

Kami akan:

• memproses Data Peribadi Pelanggan hanya atas arahan yang didokumenkan oleh Pelanggan, yang diberikan melalui Terma ini dan melalui penggunaan serta konfigurasi MetriCRM olehnya, dan memaklumkan Pelanggan jika kami percaya sesuatu arahan melanggar undang-undang;
• memastikan kakitangan kami yang mempunyai akses terikat dengan kerahsiaan dan hanya mengakses data apabila perlu untuk menyediakan atau menyokong perkhidmatan;
• mematuhi Prinsip Keselamatan yang terpakai kepada pemproses data di bawah PDPA;
• tidak menjual Data Peribadi Pelanggan atau menggunakannya untuk tujuan kami sendiri, termasuk latihan model AI.

6. Langkah keselamatan

Kami mengekalkan langkah teknikal dan organisasi yang bersesuaian dengan risiko, termasuk:

• pangkalan data berasingan bagi setiap ruang kerja, supaya data pelanggan tidak pernah disimpan bersama;
• penyulitan semasa dihantar (TLS) dan semasa disimpan, dengan penyulitan tambahan bagi rahsia seperti kata laluan peti mel dan kunci API;
• akses berasaskan peranan, pengesahan dua faktor dan dasar sesi serta kata laluan yang boleh dikonfigurasi;
• log audit bagi tindakan pentadbiran dan akses kepada data sensitif;
• sandaran yang disulitkan, pemantauan dan pengurusan kerentanan;
• dasar redaksi AI yang boleh dikonfigurasi oleh Pelanggan.

7. Subpemproses

Pelanggan membenarkan kami menggunakan subpemproses di bawah. Kami mengenakan terma perlindungan data kepada setiap subpemproses yang tidak kurang melindungi daripada DPA ini dan kekal bertanggungjawab atas prestasi mereka. Kami akan memberi notis sekurang-kurangnya 30 hari sebelum menambah atau menggantikan subpemproses. Jika Pelanggan membantah atas alasan perlindungan data yang munasabah dan kami tidak dapat menyelesaikan bantahan itu, Pelanggan boleh menamatkan perkhidmatan yang terjejas dan menerima bayaran balik yuran prabayar bagi tempoh yang tidak digunakan.

• Neon (pengehosan pangkalan data) — Singapura.
• Vercel (pengehosan aplikasi dan storan fail yang disulitkan) — Singapura, dengan rangkaian edge global untuk penghantaran.
• Stripe (pembayaran dan invois) — data pengebilan sahaja.
• Inngest (penjadualan tugas latar belakang) — metadata tugas, bukan kandungan mesej.
• Penyedia AI yang didayakan oleh Pelanggan: Anthropic, OpenAI dan Google — hanya kandungan yang dihantar kepada ciri AI.

8. Pemindahan antarabangsa

Data Peribadi Pelanggan disimpan di Singapura. Apabila subpemproses memprosesnya di luar Malaysia, kami memastikan pemindahan itu memenuhi seksyen 129 PDPA, contohnya melalui perlindungan kontrak yang memerlukan perlindungan setara dengan PDPA.

9. Bantuan

Dengan mengambil kira sifat pemprosesan, kami membantu Pelanggan menjawab permintaan subjek data (akses, pembetulan, pengehadan pemprosesan dan kemudahalihan data) terutamanya melalui ciri eksport, sunting dan padam dalam MetriCRM, dan memenuhi kewajipannya berkaitan keselamatan, pemberitahuan pelanggaran dan penilaian impak perlindungan data. Jika kami menerima permintaan terus daripada subjek data, kami akan memanjangkannya kepada Pelanggan dan tidak menjawabnya sendiri melainkan diarahkan oleh Pelanggan.

10. Pelanggaran data peribadi

Kami akan memaklumkan Pelanggan tanpa kelewatan yang tidak wajar, dan dalam apa jua keadaan dalam tempoh 48 jam, selepas menyedari pelanggaran data peribadi yang menjejaskan Data Peribadi Pelanggan. Kami akan menerangkan sifat pelanggaran, data dan orang yang mungkin terjejas, kemungkinan akibatnya dan langkah yang telah kami ambil, serta terus mengemas kini Pelanggan. Ini membantu Pelanggan memenuhi kewajipan 72 jamnya untuk memaklumkan Pesuruhjaya Perlindungan Data Peribadi.

11. Audit

Kami akan menyediakan maklumat yang diperlukan untuk menunjukkan pematuhan kami terhadap DPA ini, termasuk jawapan kepada soal selidik keselamatan yang munasabah dan ringkasan penilaian bebas apabila tersedia. Jika itu tidak mencukupi, Pelanggan boleh menjalankan audit sekali setahun, dengan notis sekurang-kurangnya 30 hari, dalam waktu perniagaan, atas kosnya sendiri, dan tertakluk kepada kerahsiaan.

12. Pemulangan dan pemadaman

Sepanjang langganan dan selama 30 hari selepas ia tamat, Pelanggan boleh mengeksport datanya. Selepas tempoh itu, kami memadam Data Peribadi Pelanggan daripada sistem pengeluaran, dan sandaran ditulis ganti dalam kitaran sandaran biasa, melainkan undang-undang mewajibkan kami menyimpannya.

13. Liabiliti dan keutamaan

Liabiliti setiap pihak di bawah DPA ini tertakluk kepada had dalam Terma Perkhidmatan. Jika DPA ini bercanggah dengan Terma mengenai pemprosesan data peribadi, DPA ini diutamakan.