Piagam Undang-undang Privasi

Tarikh – Dikeluarkan pada 01/01/2020

Terakhir Diubah Suai pada – 12/06/2023

Kebolehgunaan:

Dokumen ini (“Keperluan”) membentuk bahagian penting dan mengikat secara sah bagi mana-mana Perjanjian Perkhidmatan Induk, Pernyataan Kerja atau kontrak lain (“Perjanjian”) antara Shaip (“Syarikat”) dan penyedia perkhidmatan (“Vendor/freelancer/perunding”).

1. Definisi

Untuk tujuan Keperluan ini, istilah berikut hendaklah mempunyai maksud yang dinyatakan di bawah:

• “Undang-undang Perlindungan Data Berkenaan” bermaksud semua undang-undang, peraturan dan peraturan antarabangsa, persekutuan, negeri dan tempatan yang terpakai pada Pemprosesan Data Peribadi, termasuk tetapi tidak terhad kepada GDPR, GDPR UK, CCPA/CPRA, HIPAA, PIPEDA dan LGPD.
• “Data Syarikat” bermaksud semua data, maklumat dan bahan, dalam apa-apa bentuk atau medium, yang diberikan kepada Penjual oleh atau bagi pihak Syarikat, atau dikumpul, dijana, diperoleh, diberi nama samaran, tanpa nama (jika boleh diterbalikkan), atau Diproses oleh Penjual bagi pihak Syarikat. Ini termasuk Data Projek dan sebarang Data Peribadi.
• “Pelanggaran Data” bermaksud sebarang pelanggaran keselamatan sebenar atau disyaki yang membawa kepada kemusnahan, kehilangan, pengubahan, pendedahan tanpa kebenaran atau akses kepada, Data Syarikat secara tidak sengaja atau menyalahi undang-undang.
• “GDPR” bermaksud Peraturan Perlindungan Data Umum (EU) 2016/679.
• "Data peribadi" bermaksud sebarang maklumat yang berkaitan dengan orang asli yang dikenal pasti atau boleh dikenal pasti (“Subjek Data”) yang terkandung dalam Data Syarikat.
• “Data Peribadi Sensitif” bermaksud mana-mana kategori data yang dianggap sensitif di bawah Undang-undang Perlindungan Data Berkenaan, termasuk tetapi tidak terhad kepada asal usul kaum atau etnik, pendapat politik, kepercayaan agama atau falsafah, keahlian kesatuan sekerja, data genetik, data biometrik, data berkenaan kesihatan atau data mengenai kehidupan seks atau orientasi seksual seseorang.
• “Memproses” bermaksud sebarang operasi yang dilakukan pada Data Syarikat, seperti pengumpulan, rakaman, organisasi, penyimpanan, penyesuaian, pengambilan semula, penggunaan, pendedahan, penyebaran atau pemusnahan.
• “Data Projek” bermaksud data khusus (cth, suara, imej, teks) yang dikumpul atau dicipta oleh Vendor sebagai sebahagian daripada perkhidmatan yang dihantar kepada Syarikat.
• “Sub-pemproses” bermaksud mana-mana pihak ketiga yang terlibat oleh Vendor untuk Memproses Data Syarikat.

2. Peranan dan Kewajipan Penjual

2.1 Peranan sebagai Pemproses/Sub-pemproses. Vendor mengakui bahawa dalam Memproses Data Syarikat, ia bertindak sebagai "Pemproses" atau "Sub-pemproses" bagi pihak Syarikat. Vendor tidak mempunyai pemilikan atau hak bebas terhadap Data Syarikat.

2.2 Pemprosesan Atas Arahan. Vendor hendaklah Memproses Data Syarikat hanya mengikut arahan Syarikat yang didokumenkan dan sah, termasuk yang dinyatakan dalam Perjanjian dan Penyata Kerja yang berkaitan. Vendor dilarang secara nyata daripada Memproses Data Syarikat untuk tujuannya sendiri atau untuk sebarang tujuan yang tidak diarahkan secara nyata oleh Syarikat. Arahan hendaklah merangkumi keperluan pengekalan dan pelupusan data. Jika Vendor percaya sesuatu arahan melanggar Undang-undang Perlindungan Data yang Berkenaan, ia mesti segera memaklumkan kepada Syarikat.

2.3 Pematuhan Undang-undang. Vendor menjamin dan menyatakan bahawa ia akan mematuhi semua Undang-undang Perlindungan Data yang Berkenaan dalam pelaksanaan Perjanjian dan hendaklah segera memaklumkan Syarikat jika mana-mana undang-undang menghalang pematuhan atau mewajibkan pendedahan Data Syarikat (cth., permintaan akses kerajaan).

3. Langkah Keselamatan Teknikal dan Organisasi

3.1 Piawaian Keselamatan. Vendor hendaklah melaksanakan dan menyelenggara langkah-langkah keselamatan teknikal dan organisasi yang sesuai untuk melindungi Data Syarikat daripada sebarang Pelanggaran Data. Langkah-langkah ini hendaklah setara dengan tahap risiko dan sifat data, dan hendaklah, sekurang-kurangnya, merangkumi:

1. Penyulitan: Penyulitan semua Data Syarikat semasa rehat dan dalam perjalanan.
2. Kawalan Akses: Kawalan akses yang ketat berdasarkan keistimewaan paling rendah, memastikan hanya kakitangan yang diberi kuasa mempunyai akses kepada Data Syarikat.
3. Pengurangan Data: Mengumpul dan memproses hanya jumlah minimum Data Peribadi yang diperlukan untuk projek yang ditentukan.
4. Persekitaran Selamat: Memastikan semua sistem yang digunakan untuk Memproses Data Syarikat dikonfigurasikan, ditampal, dilog dan dipantau dengan selamat.
5. Pemadaman Selamat: Melaksanakan proses untuk pemadaman selamat dan kekal Data Syarikat atas arahan daripada Syarikat, termasuk pemadaman daripada sandaran.
6. Sekuriti fizikal: Melindungi semua lokasi fizikal dan peranti tempat Data Syarikat disimpan atau diakses.
7. Pengujian & Pemantauan: Ujian penembusan yang kerap, penilaian kerentanan, dan pemantauan berterusan.
8. Kelangsungan perniagaan: Mengekalkan tindak balas insiden, pemulihan bencana dan rancangan kesinambungan perniagaan.

4. Pemprosesan kecil

4.1 Persetujuan Terdahulu Diperlukan. Vendor tidak boleh melantik mana-mana Sub-pemproses untuk Memproses Data Syarikat tanpa persetujuan bertulis khusus terlebih dahulu daripada Syarikat.

4.2 Penurunan Obligasi. Jika persetujuan diberikan, Vendor mesti memeterai perjanjian bertulis dengan Subpemproses yang mengenakan ke atas Subpemproses obligasi perlindungan data yang sama atau lebih ketat seperti yang dikenakan ke atas Vendor oleh Keperluan ini.

4.3 Senarai Subpemproses. Vendor hendaklah menyelenggara senarai Subpemproses yang terkini dan memberikannya kepada Syarikat atas permintaan. Syarikat berhak untuk membantah mana-mana Subpemproses pada bila-bila masa.

4.4 Liabiliti Penuh. Vendor hendaklah kekal bertanggungjawab sepenuhnya kepada Syarikat atas pelaksanaan obligasi Sub-pemproses dan atas sebarang tindakan atau peninggalan Sub-pemproses.

5. Pemberitahuan dan Pengurusan Pelanggaran Data

5.1 Pemberitahuan Segera. Vendor hendaklah memaklumkan Syarikat secara bertulis tanpa berlengah, dan dalam keadaan tidak lewat daripada dua puluh empat (24) jam selepas mula menyedari sebarang Pelanggaran Data.

5.2 Butiran Pelanggaran. Pemberitahuan tersebut mestilah, sekurang-kurangnya:

1. Terangkan sifat Pelanggaran Data, termasuk kategori dan anggaran bilangan Subjek Data dan rekod data yang berkenaan.
2. Berikan nama dan butiran hubungan pegawai perlindungan data Penjual atau pusat hubungan lain yang berkaitan.
3. Terangkan kemungkinan akibat Pelanggaran Data.
4. Terangkan langkah-langkah yang diambil atau dicadangkan untuk diambil oleh Penjual untuk menangani Pelanggaran Data dan mengurangkan kesannya.

5.3 Kemas Kini Berterusan. Vendor hendaklah menyediakan kemas kini berkala sehingga insiden tersebut diselesaikan sepenuhnya.

5.4 Kerjasama. Vendor hendaklah bekerjasama sepenuhnya dengan Syarikat dalam penyiasatan, pemulihan dan pemberitahuan sebarang Pelanggaran Data. Vendor hendaklah menanggung semua kos yang berkaitan dengan Pelanggaran Data setakat yang disebabkan oleh pelanggaran Keperluan ini.

6. Pemindahan Data Antarabangsa

6.1 Vendor tidak boleh memindahkan Data Syarikat merentasi sempadan antarabangsa tanpa kebenaran bertulis terlebih dahulu daripada Syarikat. Vendor mesti menyatakan semua negara tempat ia akan Memproses Data Syarikat.

6.2 Jika perlu, Vendor bersetuju untuk memasuki Klausa Kontrak Standard (SCC), Peraturan Korporat Mengikat (BCR), Addendum UK atau mana-mana mekanisme lain yang dimandatkan oleh Syarikat untuk memastikan pemindahan data yang sah.

6.3 Vendor hendaklah mematuhi keperluan pemastautin data tempatan jika berkenaan.

7. Audit dan Pemeriksaan

Syarikat, atau juruaudit pihak ketiga yang ditetapkan, berhak untuk menjalankan audit, atas perbelanjaannya sendiri, untuk mengesahkan pematuhan Penjual terhadap Keperluan ini. Penjual hendaklah menyediakan semua maklumat, dokumentasi, dan akses kepada kemudahan dan kakitangan yang diperlukan.

Penjual hendaklah menjalani pensijilan pihak ketiga tetap (cth, ISO 27001, SOC 2) dan/atau penilaian kendiri, dan segera memperbaiki sebarang kekurangan yang dikenal pasti dalam audit atau penilaian dalam tempoh masa yang dipersetujui bersama.

8. Bantuan Hak Subjek Data

Penjual hendaklah dengan segera, dan tidak lewat daripada empat puluh lapan (48) jam, memberitahu Syarikat tentang sebarang permintaan yang diterima daripada Subjek Data untuk melaksanakan hak mereka (cth, akses, pembetulan, pemadaman, mudah alih). Penjual tidak akan bertindak balas secara langsung kepada permintaan sedemikian melainkan diarahkan oleh Syarikat dan hendaklah memberikan semua bantuan yang diperlukan untuk membolehkan respons Syarikat.

9. Pemulangan dan Pemadaman Data

Selepas penamatan Perjanjian atau atas permintaan Syarikat, Penjual hendaklah, atas pilihan Syarikat, memadam atau mengembalikan semua Data Syarikat dengan selamat dalam masa tiga puluh (30) hari. Penjual hendaklah memastikan pemadaman daripada sandaran dan memberikan pensijilan bertulis bagi pemadaman tersebut.

10. Kategori Khas Data

10.1 Data Penjagaan Kesihatan (HIPAA): Jika Vendor Memproses sebarang Maklumat Kesihatan Terlindung (PHI), Vendor mengakui bahawa ia adalah "Rakan Niaga" (atau subkontraktor kepada Rakan Niaga) di bawah HIPAA. Vendor mesti mematuhi keperluan HIPAA dan hendaklah melaksanakan Perjanjian Rakan Niaga (BAA) Syarikat.

10.2 Data Sensitif Lain: Bagi projek yang melibatkan Data Peribadi Sensitif (termasuk data biometrik atau data daripada kanak-kanak), Vendor mesti mendapatkan kelulusan Syarikat dan mematuhi protokol keselamatan dan pengendalian yang dipertingkatkan seperti yang dinyatakan oleh Syarikat.

11. Ganti Rugi dan Liabiliti

Penjual bersetuju untuk mempertahankan, menanggung rugi dan tidak memudaratkan Syarikat, sekutunya, pegawai dan pelanggannya daripada dan terhadap mana-mana dan semua tuntutan, liabiliti, kerosakan, kerugian, denda, penalti dan perbelanjaan (termasuk yuran peguam yang munasabah) yang timbul daripada atau berkaitan dengan sebarang pelanggaran Keperluan ini oleh Penjual, pekerjanya, atau Subprocessornya.

Liabiliti tidak akan dihadkan untuk pelanggaran yang melibatkan Pelanggaran Data, denda kawal selia, salah laku yang disengajakan atau penipuan.

12. Peruntukan am

12.1 Keutamaan. Sekiranya terdapat sebarang percanggahan antara terma Perjanjian dan Keperluan ini, Keperluan ini akan diutamakan berkenaan dengan perlindungan data.

12.2 Pengubahsuaian. Keperluan ini hanya boleh diubah suai melalui pindaan bertulis yang ditandatangani oleh wakil yang diberi kuasa oleh kedua-dua pihak.

12.3 Kelangsungan Hidup. Obligasi berkaitan dengan kerahsiaan, pemadaman data, liabiliti dan hak audit akan berkuat kuasa selepas penamatan Perjanjian.

12.4 Undang-undang yang Mentadbir. Keperluan ini hendaklah ditadbir dan ditafsirkan mengikut undang-undang yang mentadbir yang dinyatakan dalam Perjanjian.