Data Processing Agreement (DPA) — Nidaa
Versi 1.0
Tanggal Berlaku: 24 Juni 2026
DPA ini mengatur pemrosesan data pribadi oleh PT Kinetikum Indo Solusi ("Prosesor", "Kinetikum") atas instruksi Pelanggan ("Pengendali") dalam rangka penyediaan layanan Nidaa.
DPA ini disusun sesuai UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) Republik Indonesia. DPA menjadi bagian tak terpisahkan dari Syarat & Ketentuan / MSA Nidaa.
1. Definisi
Istilah mengikuti UU PDP:
- Data Pribadi: setiap data tentang orang perorangan yang teridentifikasi atau dapat diidentifikasi.
- Pengendali Data: pihak yang menentukan tujuan dan kendali atas pemrosesan.
- Prosesor Data: pihak yang melakukan pemrosesan atas nama Pengendali.
- Pemrosesan: setiap operasi pada Data Pribadi (pengumpulan, penyimpanan, penggunaan, pengungkapan, penghapusan, dst).
- Sub-Prosesor: pihak ketiga yang ditunjuk Prosesor untuk membantu pemrosesan.
2. Subjek, Tujuan, & Durasi Pemrosesan
| Aspek | Detail |
|---|
| Subjek Data | Penerima pesan WhatsApp yang nomornya Pelanggan kirim melalui Nidaa |
| Kategori data | Nomor WhatsApp (nomor telepon), isi pesan teks/media yang dikirim Pelanggan, isi balasan dari Penerima, metadata (timestamp, status delivery) |
| Tujuan pemrosesan | Pengiriman pesan WhatsApp atas instruksi Pelanggan, relay webhook event, retry delivery, log audit, dukungan teknis |
| Durasi | Selama Pelanggan menggunakan Layanan + masa retensi (umumnya 30 hari setelah pesan dikirim) |
Pemrosesan tidak mencakup: profilisasi otomatis untuk keputusan signifikan, penjualan data, iklan target, atau enrichment data dari sumber lain.
3. Kewajiban Prosesor (Kinetikum)
Sesuai UU PDP Pasal 51, Kinetikum sebagai Prosesor wajib:
- Memproses hanya atas instruksi Pengendali sebagaimana tertuang dalam DPA, dasbor, dan API request Pelanggan.
- Menjaga kerahasiaan dengan menetapkan klausul kerahasiaan untuk staf yang mengakses Data Pribadi.
- Menerapkan langkah pengamanan teknis & organisasi yang wajar (lihat Bagian 7).
- Membantu Pengendali memenuhi permintaan Subjek Data (akses, koreksi, hapus) sejauh secara teknis dapat dilakukan.
- Memberi tahu Pengendali tanpa penundaan apabila terjadi insiden pelanggaran Data Pribadi (data breach) — target dalam 24 jam sejak terdeteksi.
- Mengembalikan atau menghapus Data Pribadi setelah penghentian, sesuai pilihan Pengendali (default: hapus setelah masa retensi).
- Memberikan informasi yang diperlukan untuk audit kepatuhan, dengan pemberitahuan wajar dan tunduk pada konfidensialitas.
- Tidak mentransfer Data Pribadi ke luar negeri kecuali sesuai Bagian 8.
4. Kewajiban Pengendali (Pelanggan)
Pelanggan sebagai Pengendali wajib:
- Memiliki dasar pemrosesan yang sah (persetujuan, kontrak, kewajiban hukum, dst) atas setiap Subjek Data yang nomornya dikirim ke Nidaa.
- Memberitahu Subjek Data sesuai prinsip transparansi (privacy notice yang jelas).
- Menanggapi hak-hak Subjek Data secara langsung (akses, koreksi, hapus, opt-out).
- Memastikan konten pesan tidak melanggar AUP Nidaa atau hukum yang berlaku.
- Menjaga API Key, kredensial, dan webhook secret agar tidak bocor.
Pelanggan bertanggung jawab sepenuhnya atas legalitas dan kepatutan data yang dikirim ke Nidaa. Kinetikum tidak melakukan pre-verification atas dasar pemrosesan Pelanggan.
5. Sub-Prosesor
Kinetikum menggunakan sub-prosesor berikut untuk membantu menyediakan Layanan:
| Sub-Prosesor | Peran | Lokasi Pemrosesan |
|---|
| Jagoan Hosting / Coolify (VPS Melati) | Infrastruktur hosting & database utama | Indonesia |
| Meta Platforms, Inc. | WhatsApp Cloud API (saat Pelanggan memilih mesin ini) | Global (Meta data centers, umumnya Singapore/USA) |
| AWS SES | Pengiriman email transaksional (notifikasi, OTP) | Asia-Pacific (Singapore) |
| Cloudflare | CDN & DNS protection | Global edge |
| Payment gateway (Xendit / Midtrans / HitPay / WESELKU) | Pemrosesan pembayaran | Indonesia / Singapore |
Pengelolaan sub-prosesor:
- Daftar di atas dapat diperbarui dengan pemberitahuan 30 hari via email atau halaman ini.
- Pelanggan dapat mengajukan keberatan tertulis dalam 14 hari atas sub-prosesor baru; bila tidak dapat dicarikan alternatif, Pelanggan dapat menghentikan langganan dengan pengembalian biaya prorata untuk sisa periode.
- Kinetikum bertanggung jawab atas kepatuhan sub-prosesor melalui kontrak pemrosesan yang setara.
6. Hak Subjek Data
Untuk membantu Pengendali memenuhi hak Subjek Data:
- Akses & ekspor data: tersedia via dasbor → Pengaturan → Ekspor Data, dan API
GET /api/v1/messages/export.
- Penghapusan: tersedia via dasbor → Pengaturan → Hapus Riwayat, atau API
DELETE /api/v1/messages/:contact.
- Koreksi: dapat dilakukan Pengendali sendiri via API atau dasbor.
Untuk Subjek Data yang menghubungi Kinetikum langsung, kami akan meneruskan permintaan ke Pengendali (Pelanggan) yang relevan dalam 5 hari kerja.
7. Langkah Pengamanan Teknis & Organisasi
Kinetikum menerapkan kontrol berikut (TOMs — Technical and Organizational Measures):
Teknis
- Enkripsi in-transit: HTTPS/TLS 1.2+ untuk semua endpoint publik.
- Enkripsi at-rest: AES-256-GCM untuk auth state Baileys, Cloud API token, password (bcrypt).
- Network isolation: database tidak ter-expose publik (port hanya dibuka temporer dengan audit).
- Backup terenkripsi harian, retensi 30 hari, restore-test bulanan.
- Monitoring: 24/7 dengan alerting untuk anomali (volume tak wajar, error rate spike).
Organisasi
- Access control: prinsip least privilege, RBAC pada production database.
- MFA wajib untuk semua staf yang mengakses production.
- Audit log: setiap akses ke production data dicatat, retensi 2 tahun.
- Klausul kerahasiaan dalam kontrak kerja seluruh staf.
- Training keamanan & privasi tahunan untuk staf engineering.
- Bug bounty untuk security researcher eksternal.
Insiden Response
- Playbook insiden terdokumentasi.
- Notifikasi data breach: ke Pelanggan dalam 24 jam, ke Lembaga PDP dalam 3×24 jam sesuai UU PDP Pasal 46.
8. Transfer Lintas Negara
- Data Pelanggan & metadata pesan disimpan di pusat data wilayah Republik Indonesia.
- Pengecualian: bila Pelanggan memilih Mesin Cloud API, isi pesan diteruskan ke infrastruktur Meta yang dapat berlokasi di luar Indonesia. Transfer ini tunduk pada Kebijakan Privasi Meta dan dilakukan atas dasar pelaksanaan kontrak.
- Untuk transfer ke yurisdiksi lain di masa depan, Kinetikum akan mengikuti mekanisme yang sah menurut UU PDP (mis. perlindungan setara, persetujuan eksplisit, atau kepentingan vital).
9. Audit
Pengendali (atau auditor independen yang ditunjuk) berhak melakukan audit atas kepatuhan Kinetikum, dengan ketentuan:
- Pemberitahuan tertulis minimal 30 hari sebelumnya.
- Maksimal 1 (satu) kali per tahun, kecuali pasca-insiden material.
- Tunduk pada konfidensialitas dan tidak mengganggu operasional Kinetikum.
- Biaya audit ditanggung Pengendali. Kinetikum dapat menyediakan ringkasan audit pihak ketiga (jika tersedia) sebagai alternatif.
10. Pengembalian / Penghapusan Data
Setelah penghentian Layanan:
- Default: data Pelanggan dihapus 30 hari setelah penghentian (masa tenggang ekspor).
- Opsi tertulis Pelanggan: pengembalian data dalam format JSON/CSV sebelum dihapus.
- Backup: data dalam backup berputar akan terhapus dalam siklus rotasi (maksimum 30 hari).
11. Tanggung Jawab
- Tanggung jawab masing-masing Pihak atas pelanggaran DPA mengikuti batasan dalam MSA Pasal 9, kecuali untuk pelanggaran kewajiban data pribadi material yang tidak dibatasi.
- Kinetikum tidak bertanggung jawab atas konsekuensi dari ketidaktepatan / ketidakabsahan dasar pemrosesan oleh Pelanggan.
12. Perubahan DPA
DPA dapat diperbarui dengan pemberitahuan minimal 30 hari sebelumnya. Perubahan yang menurunkan tingkat perlindungan tidak berlaku untuk periode yang telah dibayar.
13. Kontak
Data Protection Officer (DPO) Kinetikum: dpo@kinetikum.co.id
Pertanyaan DPA: privacy@nidaa.id
Insiden keamanan: security@kinetikum.co.id
Lampiran A — Sub-Prosesor Aktif
(Versi terbaru selalu tersedia di nidaa.id/legal/dpa#sub-processor)
| Nama | Tujuan | Lokasi | Sertifikasi |
|---|
| Jagoan Hosting | VPS hosting (Melati) | Indonesia | — |
| Meta Platforms | WhatsApp Cloud API | Global | ISO 27001 |
| AWS SES | Email transaksional | AP-Southeast-1 | SOC 2 / ISO 27001 |
| Cloudflare | CDN & DNS | Global edge | SOC 2 / ISO 27001 |
| Xendit / Midtrans | Payment gateway | Indonesia | PCI-DSS |
DPA ini mengikat Para Pihak sebagai bagian Syarat & Ketentuan / MSA Nidaa.