Data Processing Agreement (DPA)
Template DPA yang dipelihara oleh tim Aura Edu untuk pelanggan bisnis yang memproses data pribadi karyawan pada platform Aura Edu, sesuai kerangka UU No. 27/2022 tentang Perlindungan Data Pribadi (UU PDP). Untuk salinan bertanda tangan basah atau versi berbahasa Inggris, hubungi kami di legal@auracore.id.
1. Para Pihak & Peran
- Pengendali Data: Organisasi pelanggan yang menggunakan Aura Edu untuk mengelola karyawan/peserta.
- Prosesor Data: PT Aura Core Indonesia sebagai penyedia platform Aura Edu.
- DPA berlaku otomatis begitu Pengendali menerima Syarat Layanan dan mulai memproses data pribadi di platform.
2. Objek & Durasi Pengolahan
Prosesor mengolah data pribadi hanya untuk menyediakan fungsi Aura Edu — pembelajaran, asesmen, OKR, sertifikasi, notifikasi, dan analitik SDM. Pengolahan berlangsung selama langganan aktif dan periode retensi yang disepakati (default 30 hari setelah terminasi).
3. Kategori Data & Subjek Data
- Identitas karyawan: nama, email, jabatan, unit kerja, foto profil.
- Data pembelajaran: enrollment, nilai kuis, sertifikat, log aktivitas.
- Data kandidat rekrutmen (opsional): CV, hasil asesmen pra-wawancara, catatan HR.
- Metadata teknis: IP, user-agent, waktu akses (log audit).
4. Kewajiban Prosesor
- Mengolah data hanya sesuai instruksi tertulis Pengendali (termasuk konfigurasi di dalam produk).
- Menerapkan langkah teknis dan organisasi yang wajar: enkripsi in-transit (TLS 1.2+), enkripsi at-rest, RBAC, audit log, MFA opsional untuk admin.
- Menjaga kerahasiaan personel yang memiliki akses ke data pribadi.
- Memberitahukan Pengendali dalam 72 jam bila terdeteksi insiden keamanan yang berdampak.
5. Sub-Prosesor
Aura Edu menggunakan sub-prosesor berikut. Perubahan akan diumumkan melalui email administrator Pengendali minimal 30 hari sebelumnya.
- Supabase / AWS (Singapore) — basis data, autentikasi, storage.
- Cloudflare — CDN, WAF, DDoS mitigation.
- Resend / Postmark — pengiriman email transaksional.
- Midtrans — pemrosesan pembayaran langganan (Indonesia).
- Google Cloud (Vertex AI / Gemini) — fitur AI opsional (dapat dinonaktifkan).
6. Transfer Lintas Batas
Data primer disimpan di region Asia Tenggara (Singapore). Transfer lintas batas terbatas pada sub-prosesor terdaftar dan dilindungi klausul kontrak standar setara Standard Contractual Clauses.
7. Hak Subjek Data
Prosesor membantu Pengendali menanggapi permintaan subjek data (akses, perbaikan, penghapusan, portabilitas, keberatan) melalui fitur bawaan platform dan permintaan manual via privacy@auracore.id.
8. Retensi & Penghapusan
Setelah terminasi langganan, data pelanggan dipertahankan selama 30 hari (grace period) untuk memungkinkan ekspor, lalu dihapus permanen dari sistem produksi dalam 90 hari. Backup terenkripsi mengikuti siklus retensi maksimal 90 hari.
9. Audit
Pengendali berhak melakukan audit dokumen keamanan tahunan dengan pemberitahuan tertulis minimal 30 hari. Untuk audit on-site, biaya wajar dapat dibebankan kepada Pengendali.