Kinexa — Data Processing Agreement (DPA) — UU PDP No. 27/2022

Status: Draft v1 · 2026-06-12

Owner: developer@kinetikum.co.id

Legal review needed: Yes — Starfindo lawyer (UU PDP No. 27/2022 expert)

Scope: Umbrella DPA berlaku untuk seluruh modul Kinexa (Liqaa, Mitra, Atlas suite, ESSi, Wira, Iden, Oprex, dst.). Modul-spesifik DPA (mis. LIQAA-DPA.md) merujuk dan menambahkan klausa khusus, tidak mengganti dokumen ini.

Reference: UU PDP No. 27/2022 (Indonesia) · GDPR Article 28 (untuk Pelanggan multinasional)

⚠️ DRAFT INTERNAL — wajib direview pengacara sebelum dipublikasikan. Catatan inline ⚖️ menandai bagian yang perlu konfirmasi legal.

Pasal 1 — Definisi & Peran

1.1 Para Pihak:

• Pengendali (Data Controller): Pelanggan (Organisasi/Tenant) yang berlangganan modul Kinexa.
• Pemroses (Data Processor): PT Kinetikum Indo Solusi (selanjutnya disebut "Kinexa").
• Sub-Pemroses (Sub-processor): vendor pihak ketiga yang Kinexa gunakan untuk memberikan Layanan (lihat Lampiran A).

1.2 Definisi Data Pribadi mengacu pada UU PDP No. 27/2022 Pasal 1, mencakup:

• Data Pribadi Umum: nama lengkap, jenis kelamin, kewarganegaraan, agama, status perkawinan, data lain yang dapat mengidentifikasi seseorang.
• Data Pribadi Spesifik: kesehatan, biometrik, genetik, catatan kejahatan, anak, data keuangan pribadi, dan data lain sesuai peraturan perundang-undangan.

1.3 Subjek Data mencakup:

• Karyawan Pengendali yang menggunakan modul Kinexa
• Pelanggan/mitra/visitor Pengendali yang datanya disimpan/diproses melalui modul Kinexa
• User member.kinexa.id atas nama Pengendali

Pasal 2 — Subject Matter, Durasi, Jenis Data

2.1 Tujuan pemrosesan:

• Menyediakan fungsi modul yang dipesan Pengendali (CRM, akuntansi, HR, customer messaging, dll.)
• Menyimpan data master & transaksional Pengendali
• Mengirimkan notifikasi sistem terkait Layanan
• Memberikan dukungan teknis sesuai SLA
• Menjalankan kewajiban hukum dan akunting Kinexa

2.2 Durasi pemrosesan: selama masa langganan aktif + maksimum 30 (tiga puluh) hari setelah pengakhiran untuk keperluan ekspor data, kecuali Pengendali menghendaki penghapusan segera.

2.3 Jenis Data Pribadi yang umum diproses (per modul):

2.4 Data Pribadi Spesifik (Pasal 4 UU PDP): beberapa modul (ESSi, Wira) memproses data spesifik (kesehatan/BPJS, biometrik dari fitur attendance). Persetujuan tegas (eksplisit) Subjek Data wajib diperoleh Pengendali. Kinexa hanya bertindak atas instruksi Pengendali.

Pasal 3 — Kewajiban Kinexa sebagai Pemroses

Sesuai Pasal 51 UU PDP, Kinexa wajib:

3.1 Memproses Data Pribadi hanya atas instruksi tertulis Pengendali sesuai cakupan Perjanjian Layanan (MSA + Order Form).

3.2 Menerapkan langkah teknis dan organisasi yang memadai untuk melindungi keamanan Data Pribadi (lihat Pasal 6).

3.3 Tidak menggunakan Sub-Pemroses lain tanpa otorisasi tertulis Pengendali. Daftar Sub-Pemroses saat ini tertera di Lampiran A; Pengendali diberitahu 30 hari sebelum perubahan.

3.4 Memastikan personil yang mengakses Data Pribadi terikat NDA dan menjalankan training kesadaran perlindungan data tahunan.

3.5 Membantu Pengendali memenuhi kewajiban Subjek Data (akses, koreksi, hapus, portabilitas) sesuai Pasal 28-32 UU PDP. SLA respons: maksimum 7 hari kerja.

3.6 Memberitahu Pengendali tentang insiden kebocoran Data Pribadi paling lambat 3 × 24 jam setelah Kinexa mengetahui (Pasal 46 UU PDP). Notifikasi mencakup: jenis data, jumlah Subjek terdampak, dampak yang mungkin, tindakan mitigasi.

3.7 Menghapus atau mengembalikan Data Pribadi setelah pengakhiran sesuai pilihan Pengendali (Pasal 4.2).

3.8 Menyediakan informasi yang diperlukan Pengendali untuk membuktikan kepatuhan terhadap UU PDP (audit, sertifikasi, laporan SOC/ISO).

Pasal 4 — Sub-Pemroses

4.1 Kinexa menggunakan Sub-Pemroses tercantum di Lampiran A dengan kewajiban kontraktual setara DPA ini.

4.2 Pengendali menyetujui penggunaan Sub-Pemroses tersebut dengan menandatangani DPA ini.

4.3 Penambahan Sub-Pemroses baru: pemberitahuan tertulis 30 hari sebelum efektif. Pengendali berhak keberatan dalam jangka waktu tersebut; jika tidak ada penyelesaian, Pengendali dapat mengakhiri Perjanjian tanpa penalti.

Pasal 5 — Transfer Lintas-Batas

5.1 Sebagian Sub-Pemroses berlokasi di luar wilayah Indonesia (lihat Lampiran A — kolom Lokasi).

5.2 Per Pasal 56 UU PDP, transfer keluar wilayah Indonesia hanya dilakukan jika:

• Negara tujuan memberikan tingkat perlindungan setara/lebih tinggi, ATAU
• Terdapat perlindungan yang memadai dan mengikat secara hukum, ATAU
• Subjek Data memberikan persetujuan tegas.

5.3 ⚖️ Kinexa menerapkan SCC (Standard Contractual Clauses) atau Binding Corporate Rules (BCR) dengan Sub-Pemroses luar negeri sebagai dasar transfer.

Pasal 6 — Langkah Keamanan Teknis & Organisasi

Sesuai Pasal 35-39 UU PDP:

6.1 Enkripsi: TLS 1.2+ untuk transmisi · AES-256 untuk data at-rest pada disk database & object storage · backup terenkripsi (AES-256-GCM).

6.2 Akses: otentikasi multi-faktor untuk semua personil Kinexa · audit log akses ke production · prinsip least-privilege via RBAC.

6.3 Pemisahan tenant: tiap Pengendali = tenant terpisah (tenantId=org.id); enforcement diberlakukan di lapisan API gateway dan database (row-level isolation).

6.4 Backup & DR: snapshot harian, retensi 30 hari, tested restore quarterly. Geo-redundant untuk Pengendali Business+.

6.5 Monitoring: log keamanan 24/7, anomaly detection, retensi log audit 12 bulan.

6.6 Patch & vulnerability: patch keamanan kritis diterapkan ≤ 7 hari · scan vulnerability mingguan.

6.7 Pengujian: penetration test eksternal tahunan untuk Business+ tier.

Pasal 7 — Hak Subjek Data

Kinexa menyediakan tools self-service di member.kinexa.id/privacy sehingga Pengendali dapat memenuhi hak Subjek Data:

• Akses (Pasal 29): export semua Data Pribadi Subjek dalam format JSON/CSV.
• Koreksi (Pasal 30): edit profil + audit trail perubahan.
• Penghapusan (Pasal 31): soft-delete + hard-delete setelah retention window.
• Portabilitas (Pasal 33): export terstruktur (JSON-LD) dalam 7 hari.
• Penarikan persetujuan (Pasal 26): trigger melalui Pengendali; Kinexa eksekusi ≤ 72 jam.

Pasal 8 — Insiden Kebocoran Data

8.1 Definisi insiden mengacu Pasal 1 UU PDP: pengungkapan/perubahan/penghapusan/akses tanpa izin atas Data Pribadi.

8.2 Prosedur respons:

1. T+0 jam: Kinexa Security tim deteksi/menerima laporan, isolasi sistem terdampak.
2. T+24 jam: triage internal, scope assessment, evidence preservation.
3. T+72 jam: notifikasi tertulis ke Pengendali via email + portal — sesuai Pasal 46 UU PDP.
4. T+72 jam: notifikasi Otoritas Pelindungan Data (apabila Kinexa berperan sebagai Pengendali untuk insiden internal) — sesuai Pasal 47.
5. T+7 hari: laporan akhir dengan rincian, dampak, mitigasi, rencana pencegahan.

8.3 Komunikasi kepada Subjek Data dilakukan oleh Pengendali; Kinexa menyediakan materi pendukung.

Pasal 9 — Audit & Demonstrasi Kepatuhan

9.1 Kinexa menyediakan: SOC 2 Type II (target 2027) · ISO 27001 (target 2027) · laporan audit internal tahunan.

9.2 Pengendali Enterprise tier berhak melakukan audit on-site maksimum 1× per tahun dengan pemberitahuan 30 hari sebelumnya.

Pasal 10 — Ketentuan Penutup

10.1 Apabila ada konflik antara DPA ini dan Perjanjian Layanan (MSA), DPA ini berlaku khusus untuk hal-hal pemrosesan Data Pribadi.

10.2 DPA ini diatur oleh hukum Republik Indonesia. Sengketa diselesaikan via mediasi terlebih dahulu, kemudian melalui Badan Arbitrase Nasional Indonesia (BANI).

10.3 ⚖️ Versi resmi DPA dalam Bahasa Indonesia. Terjemahan ke bahasa lain (Inggris) hanya untuk kemudahan; jika ada perbedaan tafsir, versi Bahasa Indonesia yang berlaku.

Lampiran A — Daftar Sub-Pemroses

⚖️ Lampiran A dapat diperbarui dari waktu ke waktu. Versi terkini selalu tersedia di https://kinexa.id/legal/sub-processors.

Lampiran B — Kontak

Data Protection Officer (DPO): Budi Agus Santoso, CEO PT Kinetikum Indo Solusi

Email: privacy@kinexa.id (proxied ke developer@kinetikum.co.id)

Alamat surat: [⚖️ Alamat resmi PT Kinetikum Indo Solusi]

Penanda tanganan elektronik via member.kinexa.id (checkbox saat signup) merupakan bukti persetujuan yang sah sesuai UU ITE No. 11/2008 Pasal 5.