Ketentuan pemrosesan data

1. Peran — siapa bertanggung jawab atas apa

Ketentuan ini merupakan lampiran yang tidak terpisahkan dari Ketentuan Layanan dan berlaku bagi setiap pelanggan yang menggunakan Tecrübe, baik ditandatangani secara terpisah maupun tidak.

Para pihak: pelanggan yang menggunakan layanan (“Anda”) dan Hero Invest Ltd (“Tecrübe”), 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom · Negara pendaftaran: Britania Raya (Inggris dan Wales) · Nomor perusahaan: 14955675. Badan hukum yang memikul kewajiban prosesor adalah Hero Invest Ltd; “Tecrübe” dalam ketentuan ini berarti perusahaan tersebut.

DATA PELANGGAN (data pelanggan Anda sendiri: daftar kontak, pesan masuk, catatan konversi): di sini Anda adalah pengendali dan Tecrübe adalah prosesor. Anda yang menentukan apa yang dikumpulkan, atas dasar hukum apa data itu diproses, dan apa yang disampaikan kepada siapa; Tecrübe hanya memproses berdasarkan instruksi Anda.

DATA AKUN (nama, e-mail, catatan sesi, dan rincian penagihan Anda dan tim Anda): di sini Tecrübe adalah pengendali dan Kebijakan Privasi berlaku. Perbedaan ini penting: satu produk, dua peran hukum, dan hak Anda bergantung pada data mana yang terlibat.

Tecrübe tidak pernah menggunakan Data Pelanggan untuk tujuannya sendiri — pengembangan produk, pelatihan model, pemasaran. Tidak ada pengecualian; jika ada, hal itu akan tertulis di sini.

2. Pokok, durasi, sifat, dan tujuan pemrosesan

Pokok: penyediaan layanan Tecrübe. Durasi: selama langganan Anda berlangsung, ditambah jangka waktu pengembalian/penghapusan di bagian 10.

Kegiatan pemrosesan: penyimpanan, pengorganisasian, pengambilan, pengiriman (ke platform yang Anda hubungkan), penghapusan, dan pembuatan teks dengan model AI.

Kategori data: rincian kontak (nama, e-mail, telepon), isi pesan, data perilaku dan konversi, serta daftar dan konten yang Anda unggah.

Kategori subjek data: pelanggan Anda, calon pelanggan, orang yang mengirimi Anda pesan, dan anggota tim Anda.

Data kategori khusus: layanan ini tidak dirancang untuk memprosesnya. Jika Anda mengunggahnya, perlindungan tambahan dan kewajiban persetujuan eksplisit menjadi tanggung jawab Anda.

3. Pemrosesan berdasarkan instruksi

Tecrübe memproses Data Pelanggan hanya berdasarkan instruksi Anda yang terdokumentasi. Penggunaan layanan oleh Anda — meluncurkan kampanye, mengunggah daftar, mengaktifkan otomatisasi — merupakan instruksi semacam itu.

Jika kami menilai suatu instruksi melanggar hukum yang berlaku, kami akan memberi tahu Anda dan dapat berhenti melaksanakannya.

Jika hukum mewajibkan pemrosesan (perintah pengadilan, permintaan administratif) dan pemberitahuan tidak dilarang, kami memberi tahu Anda sebelum memproses.

4. Kerahasiaan dan keamanan

Setiap orang yang memiliki akses ke Data Pelanggan terikat kewajiban kerahasiaan, dan akses dibatasi pada cakupan tersempit yang dibutuhkan pekerjaan.

Langkah teknis yang diterapkan: enkripsi saat transit dan saat tersimpan, isolasi tenant yang ditegakkan di tingkat basis data dengan keamanan tingkat baris, hashing kata sandi dengan argon2id, rahasia penyedia yang dienkripsi dengan kunci terpisah, akses berbasis peran, dan catatan audit atas setiap tindakan berhak istimewa.

Langkah organisasi: akses staf dicatat; tampilan dukungan atas suatu tenant ditampilkan dengan spanduk yang terlihat oleh pihak yang melihat maupun oleh tenant; pencadangan rutin dengan latihan pemulihan.

Langkah-langkah ini dapat berubah dari waktu ke waktu; perubahan tidak boleh menurunkan tingkat keamanan.

5. Subprosesor

Tecrübe menggunakan subprosesor untuk menyediakan layanan. Daftar terkini — siapa mereka, untuk tujuan apa, dan di negara mana — dipublikasikan beserta namanya di bagian 9 Kebijakan Privasi.

Subprosesor baru diumumkan melalui pemberitahuan di dalam produk. Jika Anda berkeberatan atas dasar yang wajar, kami akan mempertimbangkan keberatan Anda; jika tidak dapat diselesaikan, Anda dapat mengakhiri langganan tanpa penalti dan menerima pengembalian dana untuk periode yang belum digunakan.

Setiap subprosesor terikat kontrak dengan kewajiban yang setara dengan ketentuan ini. Tecrübe tetap bertanggung jawab atas tindakan subprosesor seperti atas tindakannya sendiri.

Data yang dikirim ke penyedia AI dibatasi pada apa yang dibutuhkan tugas yang diminta: profil merek, konteks kampanye, dan, bila draf balasan diminta, teks pesan yang bersangkutan. Nama, nomor telepon, dan alamat e-mail pelanggan — termasuk yang ada di dalam teks pesan — disamarkan sebelum dikirim (mis. “Pelanggan #ab12cd”, “+90 5 * **12”). Penyedia ini (OpenAI dan, bila digunakan, Anthropic) berada di AS; transfer dilakukan berdasarkan perlindungan di bagian 6.

6. Transfer internasional

Beberapa subprosesor berada di luar Britania Raya, Kawasan Ekonomi Eropa, dan Türkiye (terutama penyedia AI dan platform iklan). Transfer dilakukan berdasarkan UK GDPR, Bab V GDPR, dan Pasal 9 KVKK, dengan mengandalkan, sesuai keadaan, klausul kontrak standar (beserta UK International Data Transfer Addendum), keputusan kecukupan, atau persetujuan eksplisit.

Subprosesor mana yang memproses di negara mana dicantumkan di samping setiap entri dalam daftar di Kebijakan Privasi.

7. Permintaan subjek data dan bantuan kepada Anda

Jika subjek data menghubungi Tecrübe secara langsung, kami tidak menjawab atas nama Anda — kami merujuknya kepada Anda, karena Anda adalah pengendali data tersebut.

Alat yang Anda perlukan untuk memenuhi permintaan akses, perbaikan, penghapusan, dan portabilitas tersedia di dalam produk: salinan yang dapat dibaca mesin dapat diunduh sebagai ZIP melalui Pengaturan › Keamanan › “Unduh data saya” (paling banyak 3 kali dalam 24 jam), dan permintaan penghapusan diselesaikan dalam 30 hari. Jika alat tersebut tidak mencukupi, kami memberikan bantuan teknis yang wajar.

Jika Anda harus melakukan penilaian dampak pelindungan data (Pasal 35), kami memberikan informasi yang kami miliki sejauh wajar.

8. Pemberitahuan pelanggaran

Kami memberi tahu Anda tentang pelanggaran keamanan yang memengaruhi Data Pelanggan tanpa penundaan yang tidak semestinya dan paling lambat dalam 24 jam sejak kami mengetahuinya. Tenggat ini sengaja dibuat singkat agar Anda dapat memenuhi kewajiban pemberitahuan 72 jam Anda sendiri.

Pemberitahuan mencakup: sifat pelanggaran, kategori data dan perkiraan jumlah catatan yang terdampak, kemungkinan akibat, langkah yang telah dan akan diambil, serta narahubung.

Jika belum semuanya diketahui pada pemberitahuan pertama, informasi yang kurang menyusul tanpa penundaan; menunggu bukanlah pengganti pemberitahuan.

9. Audit

Atas permintaan, kami memberikan informasi yang diperlukan untuk menunjukkan kepatuhan terhadap ketentuan ini.

Sekali setahun, dengan pemberitahuan yang wajar dan selama jam kerja, Anda dapat melakukan audit melalui auditor yang terikat kewajiban kerahasiaan. Audit tidak boleh melibatkan akses ke data pelanggan lain dan dilaksanakan sedemikian rupa sehingga tidak mengganggu layanan.

10. Pengembalian dan penghapusan di akhir

Saat langganan Anda berakhir, Data Pelanggan tetap dapat diekspor selama tiga puluh hari; selama waktu itu Anda dapat mengunduhnya dari panel.

Pada akhir tiga puluh hari tersebut, data dihapus. Penghapusan tidak dapat dibatalkan dan diberitahukan melalui e-mail tujuh hari sebelumnya.

Salinan di cadangan kedaluwarsa mengikuti siklus pencadangan (paling lama sembilan puluh hari); selama waktu itu salinan tetap terenkripsi dan tidak dapat diakses.

Catatan yang wajib kami simpan menurut hukum (faktur, log audit) disimpan selama jangka waktu yang ditetapkan undang-undang dan diproses hanya untuk tujuan tersebut.