Perjanjian Pemrosesan Data

Ketentuan Pemrosesan Data xCORE (DPA)

Terjemahan referensi. Versi bahasa Inggris adalah teks yang mengikat.

Versi 2.0

Tanggal Berlaku: 17 September 2026

Ketentuan Pemrosesan Data ini (xCORE Data Processing Terms) ("DPA" ini) dimasukkan ke dalam, dan merupakan bagian dari, Ketentuan Bisnis xCORE ("Ketentuan Bisnis") antara PLUS IMPACT Pte. Ltd., suatu perusahaan yang didirikan di Singapura ("PLUS IMPACT" atau "kami"), dan Pelanggan yang diidentifikasi dalam Pesanan ("Pelanggan"), sebagai lampiran Ketentuan Bisnis, dan menetapkan ketentuan berdasarkan mana Data Pribadi dan data lain diproses sehubungan dengan Layanan. Lampiran-lampiran pada bagian akhir DPA ini merupakan bagian dari DPA ini.

Pasal 1 (Tujuan)

DPA ini menetapkan ketentuan berdasarkan mana PLUS IMPACT memproses Data Pelanggan, Data Pribadi, Data My xCORE, dan Data xCORE Talk sehubungan dengan Layanan.
DPA ini berlaku bersama dengan Ketentuan Bisnis dan Pesanan sebagai satu kesatuan yang terpadu. Apabila Ketentuan Bisnis, suatu Pesanan, atau suatu Adendum Negara merujuk pada DPA ini, DPA ini secara tegas dimasukkan ke dalam dokumen tersebut.

Pasal 2 (Definisi)

Istilah yang digunakan dalam DPA ini memiliki arti sebagaimana diberikan dalam Ketentuan Bisnis, kecuali didefinisikan lain dalam DPA ini.

Pasal 3 (Peran)

Apabila Pelanggan menggunakan Layanan untuk tujuan rekrutmen, sumber daya manusia, evaluasi, wawancara, manajemen organisasi, atau tujuan lainnya milik Pelanggan sendiri, Pelanggan memiliki kedudukan sebagai Pengendali Data Pribadi (Controller), pelaku usaha, organisasi, atau kedudukan yang setara berdasarkan Hukum Pelindungan Data yang Berlaku sehubungan dengan Data Pelanggan dan Data Pribadi yang diproses untuk tujuan tersebut.
Sepanjang PLUS IMPACT menyediakan Layanan untuk Pelanggan, PLUS IMPACT memiliki kedudukan sebagai Prosesor Data Pribadi (Processor), penyedia layanan yang diberi kepercayaan, perantara data (data intermediary), atau kedudukan yang setara yang memproses Data Pribadi atas instruksi Pelanggan.
Tanpa mengesampingkan dua ayat sebelumnya, apabila Pengguna Akhir membuat atau menyimpan My xCORE berdasarkan syarat penggunaan atau persetujuan yang ditetapkan oleh PLUS IMPACT, PLUS IMPACT dapat memiliki kedudukan sebagai Pengendali Data Pribadi yang independen, pelaku usaha, organisasi, atau kedudukan yang setara berdasarkan Hukum Pelindungan Data yang Berlaku sehubungan dengan Data My xCORE.
Data xCORE Talk, pada prinsipnya, diperlakukan sebagai data di bawah kendali Pelanggan dan dipisahkan dari Data My xCORE.
CV/resume, riwayat pekerjaan, hasil penilaian, atau informasi lain yang sama dapat diperlakukan sebagai Data Pelanggan dalam pemrosesan yang diarahkan oleh Pelanggan dan, setelah persetujuan Pengguna Akhir sendiri, sebagai salinan independen yang diperlakukan sebagai Data My xCORE. Dalam hal demikian, data yang diarahkan oleh Pelanggan dan Data My xCORE dikelola dengan tujuan, hak akses, penerima, serta syarat penghapusan dan retensi yang terpisah.
Sehubungan dengan Singapura, untuk pemrosesan yang diarahkan oleh Pelanggan, Pelanggan diperlakukan sebagai organisasi berdasarkan Singapore Personal Data Protection Act 2012 ("PDPA") dan PLUS IMPACT sebagai perantara data yang memproses atas nama Pelanggan. Untuk pemrosesan Data My xCORE bagi tujuan PLUS IMPACT sendiri, PLUS IMPACT merupakan organisasi independen sebagai penyedia layanan kepada Pengguna Akhir yang bersangkutan. Rinciannya diatur oleh Adendum Negara Singapura.
Bahkan apabila anak perusahaan lokal, penyedia dukungan implementasi lokal, atau titik kontak lokal menjalankan rujukan, dukungan implementasi, kontak lokal, atau fungsi dukungan lainnya, anak perusahaan, penyedia dukungan implementasi lokal, atau titik kontak lokal tersebut bukan merupakan entitas pemrosesan independen, entitas yang mengadakan kontrak, entitas penerbit faktur, entitas penjualan daring, atau entitas penyedia lokal sehubungan dengan Data Pelanggan atau Data Pribadi kecuali dinyatakan secara tegas dalam Pesanan. PLUS IMPACT membagikan informasi kepada mereka hanya sepanjang diperlukan untuk fungsi dukungan tersebut dan membebankan kepada mereka kewajiban yang wajar mengenai kerahasiaan, pelindungan data, keamanan informasi, dan pembatasan kewenangan yang sesuai dengan peran mereka.
Apabila Pelanggan menggunakan Layanan untuk membuat keputusan rekrutmen, ketenagakerjaan, evaluasi, penempatan, dukungan karyawan, atau keputusan lainnya, Pelanggan memikul tanggung jawab utama atas tujuan, dasar hukum, pemberitahuan, penjelasan, peninjauan oleh manusia, penanganan keberatan, dan prosedur ketenagakerjaan yang berkaitan dengan keputusan tersebut. PLUS IMPACT memberikan dukungan teknis dan kontraktual yang wajar dalam ruang lingkup pemrosesannya untuk Pelanggan.

Pasal 4 (Data yang Diproses)

Data yang diproses berdasarkan DPA ini mencakup hal-hal berikut.

Data Pelanggan
- nama Pelanggan, departemen, dan informasi Administrator
- lowongan pekerjaan, persyaratan pekerjaan, dan kriteria evaluasi
- nama, alamat email, nomor telepon, alamat, serta informasi identifikasi dan kontak lainnya dari kandidat atau karyawan yang dimasukkan atau didaftarkan oleh individu tersebut dalam Layanan, atau yang terdapat dalam CV/resume, dokumen riwayat pekerjaan, atau materi lain yang diserahkan
- CV/resume, dokumen riwayat pekerjaan, dan materi lain yang diserahkan, serta riwayat pekerjaan, pendidikan, kualifikasi, keterampilan, kondisi yang diinginkan, perkenalan diri, dan informasi karier atau profil lainnya yang terdapat di dalamnya
- hasil evaluasi, skor, laporan, dan log
Data AI Interview
- jawaban wawancara
- rekaman audio atau video
- transkrip
- hasil analisis AI
- laporan yang ditujukan kepada Pelanggan
- informasi yang diperlukan untuk verifikasi identitas, pencegahan kecurangan, operasi, pemecahan masalah, dan pemeriksaan keamanan layanan wawancara, dukungan, dan kepatuhan hukum
Data xCORE Personality
- jawaban, hasil penilaian, ciri perilaku, kecocokan pekerjaan, kesesuaian organisasi, dan laporan
Data xCORE Talk
- percakapan, audio, transkrip, ringkasan, sinyal terkait KPI, informasi keterlibatan (engagement), dan tindakan yang direkomendasikan dalam sesi 1-on-1 AI
Data My xCORE
- informasi profil yang disimpan atau digunakan oleh Pengguna Akhir sebagai My xCORE berdasarkan syarat penggunaan atau persetujuan yang ditetapkan oleh PLUS IMPACT. Informasi ini dapat mencakup informasi identifikasi, informasi kontak, informasi karier, dan informasi profil yang dimasukkan atau didaftarkan oleh Pengguna Akhir, atau yang diekstraksi dari CV/resume, dokumen riwayat pekerjaan, atau materi lain yang diserahkan.

Pasal 5 (Tujuan Pemrosesan)

PLUS IMPACT memproses data untuk tujuan-tujuan berikut.

menyediakan, mengoperasikan, dan memelihara Layanan
menghasilkan konsol administrasi, laporan, skor, ringkasan, notifikasi, saran pertanyaan, dan keluaran lainnya
manajemen akun, verifikasi identitas, autentikasi, pencegahan kecurangan, dan keamanan
dukungan, penanganan insiden, pengendalian mutu operasional, dan pemeriksaan keamanan
kepatuhan hukum, audit, penanganan sengketa, pengamanan bukti, dan manajemen kontrak
pemrosesan berdasarkan Pesanan atau instruksi Pelanggan
pembuatan, penyimpanan, dan penggunaan My xCORE berdasarkan syarat penggunaan atau persetujuan Pengguna Akhir
peningkatan layanan internal PLUS IMPACT, pengendalian mutu, dan analisis statistik, yang dipisahkan dari pelatihan model AI, dengan menggunakan data agregat, statistik, atau anonim yang tidak dapat mengidentifikasi individu atau Pelanggan mana pun; dengan ketentuan bahwa, sesuai dengan Pasal 10, informasi yang diturunkan dari Data xCORE Talk tidak digunakan untuk tujuan yang tidak berkaitan dengan penyediaan Layanan, materi pihak ketiga, materi iklan atau pemasaran, atau tujuan yang secara wajar tidak diharapkan oleh Pelanggan, kecuali sepanjang disetujui sebelumnya oleh Pelanggan atau dinyatakan secara tegas dalam Pesanan.

Pasal 6 (Instruksi Pelanggan)

PLUS IMPACT memproses Data Pelanggan dan Data Pribadi di bawah kendali Pelanggan sesuai dengan Ketentuan Bisnis, Pesanan, DPA ini, dan instruksi tertulis yang wajar dari Pelanggan.
Apabila suatu instruksi Pelanggan berpotensi melanggar Hukum Pelindungan Data yang Berlaku, Ketentuan Bisnis, hak pihak ketiga, atau kepentingan Pengguna Akhir, PLUS IMPACT dapat menolak melaksanakan instruksi tersebut atau meminta Pelanggan untuk mengubahnya.
Pelanggan tidak boleh menginstruksikan PLUS IMPACT untuk melakukan pemrosesan data yang melanggar hukum atau tidak patut.

Pasal 7 (Pemberitahuan dan Persetujuan oleh Pelanggan)

Pelanggan bertanggung jawab untuk memberitahukan Pengguna Akhir mengenai penggunaan Layanan, pemrosesan oleh PLUS IMPACT, analisis AI, penggunaan laporan oleh Pelanggan, Transfer Lintas Batas (Cross-border Transfer), penggunaan pemroses eksternal, dan hal-hal lain yang disyaratkan berdasarkan Hukum Pelindungan Data yang Berlaku, serta untuk memperoleh persetujuan yang diperlukan.
Bahkan apabila PLUS IMPACT menyajikan syarat penggunaan, pemberitahuan privasi, atau layar persetujuan secara langsung kepada Pengguna Akhir, Pelanggan tidak dibebaskan dari kewajibannya untuk memberitahukan tujuan penggunaannya sendiri dan keputusan yang dibuat oleh Pelanggan.
Ketika memperkenalkan xCORE Talk kepada karyawannya, Pelanggan harus melaksanakan penjelasan, persetujuan, dan prosedur internal yang disyaratkan dari sudut pandang hubungan kerja, pemantauan tempat kerja, pelaporan pelanggaran (whistle-blowing), manajemen tenaga kerja, evaluasi, dan hal-hal relevan lainnya.
Apabila secara wajar diperlukan dengan mempertimbangkan negara tempat tinggal Pengguna Akhir, bahasa, hubungan kerja, proses rekrutmen, atau keadaan lainnya, Pelanggan harus memberitahukan Pengguna Akhir, dalam bahasa dan dengan cara yang dapat mereka pahami, mengenai tujuan penggunaan Pelanggan, peran analisis AI, Transfer Lintas Batas, penggunaan pemroses eksternal, titik kontak untuk Permintaan Subjek Data, dan hal-hal lain yang diperlukan.
Pelanggan harus mengidentifikasi dan mematuhi kewajiban hukum yang berlaku terhadap penggunaannya di Negara yang Berlaku, termasuk yang berkaitan dengan ketenagakerjaan dan perburuhan, pemantauan tempat kerja, evaluasi rekrutmen, transaksi elektronik, keamanan siber, layanan daring, telekomunikasi, penyimpanan catatan, pendaftaran, pelaporan, lisensi, dan izin.
Apabila Pelanggan menggunakan rekomendasi AI, prediksi, skor, ringkasan, atau keluaran lainnya sebagai pendukung keputusan sehubungan dengan Pengguna Akhir, Pelanggan harus menjelaskan secara wajar, sebanding dengan risiko kasus penggunaan yang bersangkutan, fitur yang relevan, data utama yang diproses, tujuan penggunaan, fakta bahwa keluaran AI merupakan pendukung keputusan, apakah peninjauan oleh manusia dilakukan, titik kontak, dan cara menarik persetujuan atau mengajukan keberatan.
Dalam penggunaan produksi AI Interview dan xCORE Talk, Pelanggan harus memberitahukan Pengguna Akhir bahwa rekaman, video, audio, transkrip lengkap, laporan, hasil evaluasi, catatan verifikasi identitas dan pencegahan kecurangan, serta catatan terkait lainnya disimpan paling lama 24 bulan sejak pengumpulan atau pembuatan, kecuali ditentukan lain dalam Pesanan, pemberitahuan yang ditujukan kepada Pengguna Akhir, atau Adendum Negara.
PLUS IMPACT menyediakan, sepanjang secara wajar diperlukan agar Pelanggan dapat memberikan penjelasan sebagaimana dimaksud dalam ayat sebelumnya, informasi penjelasan umum seperti fitur yang relevan, data utama yang diproses, gambaran umum Pemroses AI, sifat keluaran AI, kebijakan tanpa pelatihan (no-training policy), langkah-langkah keamanan, dan informasi penjelasan umum lainnya; dengan ketentuan bahwa PLUS IMPACT tidak berkewajiban mengungkapkan model AI, prompt, logika evaluasi, kode sumber, konfigurasi keamanan, atau informasi rinci lainnya yang merupakan rahasia dagang atau harus dilindungi karena alasan keamanan.

Pasal 8 (My xCORE)

Apabila Pengguna Akhir membuat atau menyimpan My xCORE berdasarkan syarat penggunaan atau persetujuan yang ditetapkan oleh PLUS IMPACT, PLUS IMPACT dapat memproses Data My xCORE secara independen dari hubungan kontraktualnya dengan Pelanggan.
Data My xCORE digunakan untuk profil Pengguna Akhir sendiri, karier, penilaian, pengelolaan profil, peningkatan layanan, dan tujuan lain yang diberitahukan oleh PLUS IMPACT kepada Pengguna Akhir.
Persyaratan pekerjaan khusus Pelanggan, komentar evaluasi Pelanggan, jawaban atas pertanyaan khusus perusahaan, skor kesesuaian khusus perusahaan, Data xCORE Talk, dan Data AI Interview tidak termasuk dalam Data My xCORE kecuali Pengguna Akhir memberikan persetujuan secara terpisah.
PLUS IMPACT tidak, tanpa persetujuan terpisah dari Pengguna Akhir, memberikan Data My xCORE kepada pihak ketiga atau menggunakannya untuk layanan yang ditujukan kepada pihak ketiga yang secara material berbeda dari tujuan yang diberitahukan kepada Pengguna Akhir.
Pelanggan mengakui bahwa PLUS IMPACT dapat menyimpan atau memproses Data My xCORE secara independen dalam hubungannya dengan Pengguna Akhir.

Pasal 9 (Penggunaan Sekunder AI Interview)

Selama uji coba awal, Data AI Interview digunakan untuk pelaksanaan wawancara, perekaman audio atau video, transkripsi, analisis AI, penyusunan laporan yang ditujukan kepada Pelanggan, verifikasi identitas, pencegahan kecurangan, operasi, pemecahan masalah, dan pemeriksaan keamanan layanan wawancara, dukungan, kepatuhan hukum, dan tujuan operasional lain yang secara wajar diperlukan.
PLUS IMPACT tidak, tanpa persetujuan terpisah dari Pengguna Akhir, menggunakan Data AI Interview untuk My xCORE atau layanan lain yang ditujukan kepada Pengguna Akhir untuk tujuan yang berbeda.
PLUS IMPACT tidak, tanpa persetujuan terpisah dari Pengguna Akhir, menggunakan audio, video, transkrip lengkap, jawaban atas pertanyaan khusus perusahaan, atau skor kesesuaian khusus peran dari AI Interview untuk evaluasi bagi pelanggan lain atau untuk diberikan kepada pihak ketiga.
Apabila PLUS IMPACT di masa mendatang menyediakan fitur yang menyimpan ringkasan atau skor wawancara yang terstandardisasi dalam My xCORE, PLUS IMPACT akan memperoleh opt-in terpisah dari Pengguna Akhir.

Pasal 10 (Pemisahan xCORE Talk)

Karena Data xCORE Talk dapat memuat informasi bisnis, organisasi, sumber daya manusia, dan KPI Pelanggan, pandangan jujur karyawan, permasalahan internal, dan informasi sensitif lainnya, data tersebut diproses secara terpisah dari Data My xCORE dan data profil lain yang ditujukan kepada Pengguna Akhir.
PLUS IMPACT menggunakan Data xCORE Talk hanya untuk menyediakan xCORE Talk, menyusun laporan yang disetujui oleh Pelanggan, keamanan, penanganan insiden, kepatuhan hukum, dan tujuan lain yang secara tegas dinyatakan dalam DPA ini atau Pesanan, dan tidak, tanpa persetujuan Pelanggan sebelumnya, menggunakannya untuk My xCORE atau profil lain yang ditujukan kepada Pengguna Akhir, layanan yang ditujukan kepada pihak ketiga, pelatihan model AI, materi iklan atau pemasaran, atau tujuan lain apa pun yang secara wajar tidak diharapkan oleh Pelanggan.
PLUS IMPACT menerapkan kontrol akses yang wajar terhadap Data xCORE Talk sesuai dengan sifat data tersebut.
Tanpa mengesampingkan ayat sebelumnya, PLUS IMPACT dapat melakukan pemrosesan yang diperlukan, yang dibatasi tujuan dan ruang lingkupnya, apabila dibenarkan oleh pemrosesan otomatis yang diperlukan untuk menyediakan Layanan, keamanan, penanganan insiden, kepatuhan hukum, penanganan sengketa, atau alasan sah lainnya. PLUS IMPACT tidak melihat isi teks polos (plain-text) xCORE Talk untuk tujuan dukungan atau penjualan.

Pasal 11 (Pemroses AI dan Subprosesor)

PLUS IMPACT dapat menggunakan Pemroses AI dan Subprosesor sepanjang diperlukan untuk menyediakan Layanan.
PLUS IMPACT membebankan kepada Pemroses AI dan Subprosesor pelindungan kontraktual yang wajar secara komersial yang mencakup pelindungan data pribadi, kerahasiaan, keamanan, pembatasan penggunaan untuk tujuan pelatihan model AI, dan hal-hal lainnya.
Atas permintaan yang wajar dari Pelanggan, PLUS IMPACT memberikan informasi ringkas mengenai Pemroses AI dan Subprosesor utamanya.
PLUS IMPACT memilih pemroses eksternal, termasuk Pemroses AI, dengan mempertimbangkan sifat data yang bersangkutan, persyaratan fungsional, ketersediaan komersial, dan persyaratan keamanan.
Apabila PLUS IMPACT, sebagai penyedia layanan suatu sistem AI atau fitur AI, menyediakan, mengonfigurasi, memverifikasi, atau meningkatkan fitur yang ditujukan kepada Pelanggan dengan menggunakan Data Pribadi yang dimiliki atau dikendalikan oleh Pelanggan, PLUS IMPACT menerapkan langkah pengelolaan yang wajar terhadap Data Pribadi tersebut sesuai dengan Hukum Pelindungan Data yang Berlaku dan kontraknya dengan Pelanggan.

Pasal 12 (Transfer Lintas Batas)

PLUS IMPACT dapat, sepanjang diperlukan untuk menyediakan Layanan, mentransfer Data Pribadi ke luar Negara yang Berlaku ke Singapura, Jepang, Amerika Serikat, atau negara atau wilayah lain, dan dapat menggunakan Pemroses AI, Subprosesor, dan layanan awan yang berlokasi di negara atau wilayah tersebut.
Apabila PLUS IMPACT melakukan Transfer Lintas Batas, PLUS IMPACT mengambil, sesuai dengan Hukum Pelindungan Data yang Berlaku, langkah kontraktual yang dapat ditegakkan secara hukum yang mewajibkan penerima transfer atau pemroses eksternal untuk memberikan standar pelindungan yang setara atau sebanding, DPA atau klausul pelindungan data, kerahasiaan, langkah keamanan, pengelolaan kontraktor, dan langkah wajar lainnya.
Pelanggan memberikan pemberitahuan yang diperlukan kepada Pengguna Akhir, dan memperoleh persetujuan yang diperlukan, sehubungan dengan Transfer Lintas Batas.
PLUS IMPACT tidak menjamin penyimpanan data, pemrosesan, pencadangan, atau penggunaan Subprosesor di dalam negara atau wilayah tertentu kecuali dinyatakan secara tegas dalam Pesanan atau Adendum Negara.
Apabila hukum Negara yang Berlaku, atau penafsiran otoritasnya, dapat mensyaratkan lokalisasi data, retensi untuk jangka waktu tertentu, pendaftaran, pelaporan, penyediaan informasi kepada otoritas, penunjukan lokasi penyimpanan data, atau langkah tambahan lainnya, para pihak akan berkonsultasi mengenai ruang lingkup penerapan, metode penanganan, alokasi biaya, dan dampaknya terhadap Layanan. Kecuali dilarang oleh hukum, PLUS IMPACT memberitahukan Pelanggan, sepanjang dapat dilaksanakan secara wajar, mengenai setiap permintaan dari otoritas yang berkaitan dengan Data Pelanggan atau Data Pribadi.

Pasal 13 (Langkah-Langkah Keamanan)

PLUS IMPACT menerapkan langkah-langkah keamanan yang wajar berikut, dengan mempertimbangkan sifat data, ruang lingkup pemrosesan, perkembangan teknologi, biaya, risiko, dan keadaan lainnya.

enkripsi
kontrol akses
manajemen autentikasi
manajemen izin
pelindungan jaringan
pencadangan (backup)
manajemen kerentanan
penanganan insiden
pengelolaan kontraktor

Pasal 14 (Pemberitahuan Insiden Keamanan)

Apabila PLUS IMPACT memastikan adanya kebocoran, kehilangan, kerusakan, akses tanpa izin, atau Insiden Keamanan (Security Incident) lainnya yang berkaitan dengan Data Pelanggan atau Data Pribadi yang dapat berdampak material terhadap Pelanggan atau Pengguna Akhir, PLUS IMPACT memberitahukan Pelanggan tanpa penundaan yang tidak semestinya, sepanjang diperbolehkan oleh hukum dan dapat dilaksanakan secara wajar. Demikian pula, apabila, berdasarkan PDPA Singapura, PLUS IMPACT, sebagai perantara data yang memproses Data Pribadi atas nama Pelanggan, mengetahui adanya pelanggaran data yang berkaitan dengan Data Pribadi tersebut dan memiliki alasan yang dapat dipercaya untuk meyakini bahwa pelanggaran data telah terjadi, PLUS IMPACT memberitahukan Pelanggan tanpa penundaan yang tidak semestinya.
PLUS IMPACT memberikan kepada Pelanggan sifat Insiden Keamanan, tanggal dan waktu penemuan, jenis data yang mungkin terdampak, ruang lingkup dampak, penyebab yang teridentifikasi, langkah awal yang diambil oleh PLUS IMPACT, langkah yang direkomendasikan bagi Pelanggan atau Pengguna Akhir, langkah pencegahan terulangnya kejadian, dan informasi lain yang secara wajar dapat diberikan.
Apabila pemberitahuan kepada Pengguna Akhir atau otoritas disyaratkan, Pelanggan melakukan pemberitahuan tersebut atas tanggung jawabnya sendiri; dengan ketentuan bahwa PLUS IMPACT bekerja sama secara wajar. Demikian pula, apabila, berdasarkan PDPA Singapura, Pelanggan sebagai organisasi harus menilai apakah pemberitahuan kepada Personal Data Protection Commission ("PDPC") atau kepada individu yang terdampak disyaratkan dan melakukan pemberitahuan tersebut, PLUS IMPACT bekerja sama dalam menyediakan informasi yang diperlukan sepanjang memungkinkan secara teknis dan wajar.

Pasal 15 (Permintaan Subjek Data)

Apabila Pengguna Akhir mengajukan permintaan akses, koreksi, penghapusan, penghentian penggunaan, penarikan persetujuan, atau permintaan lainnya, para pihak menanggapi sesuai dengan Hukum Pelindungan Data yang Berlaku, menurut peran masing-masing.
Untuk Permintaan Subjek Data (Data Subject Request) yang berkaitan dengan data yang dikendalikan oleh Pelanggan, Pelanggan memikul tanggung jawab utama untuk menanggapi. Atas permintaan yang wajar dari Pelanggan, PLUS IMPACT bekerja sama sepanjang memungkinkan secara teknis dan wajar.
Untuk Permintaan Subjek Data yang berkaitan dengan Data My xCORE, PLUS IMPACT dapat menanggapi dalam hubungannya dengan Pengguna Akhir.
Ketika menanggapi Permintaan Subjek Data, PLUS IMPACT dapat melakukan verifikasi identitas, konfirmasi ruang lingkup permintaan, pemisahan data yang dikendalikan oleh Pelanggan dari Data My xCORE, penjelasan mengenai alasan hukum atau kontraktual mengapa penghapusan tidak dapat dilakukan, dan prosedur wajar lainnya.

Pasal 16 (Pengembalian, Penghapusan, dan Retensi)

Setelah Pesanan berakhir, Pelanggan dapat secara wajar meminta PLUS IMPACT untuk mengembalikan atau menghapus Data Pelanggan. PLUS IMPACT mengembalikan atau menghapus Data Pelanggan sesuai dengan hukum yang berlaku, DPA ini, dan Lampiran 2 (Retensi, Pengembalian, dan Penghapusan).
PLUS IMPACT dapat menyimpan Data Pelanggan hanya sepanjang dan selama jangka waktu yang diperlukan untuk kepatuhan hukum, audit, penanganan sengketa, keamanan, pencadangan, penagihan, akuntansi, pengendalian internal, atau tujuan terbatas lainnya.
Data My xCORE dapat disimpan setelah berakhirnya kontrak dengan Pelanggan apabila Pengguna Akhir menghendaki data tersebut disimpan berdasarkan syarat penggunaan atau persetujuan yang ditetapkan oleh PLUS IMPACT.
Dari Data Pelanggan produksi yang berasal dari AI Interview dan xCORE Talk, rekaman, video, audio, transkrip lengkap, laporan, hasil evaluasi, catatan verifikasi identitas dan pencegahan kecurangan, serta catatan terkait lainnya dapat disimpan paling lama 24 bulan sejak pengumpulan atau pembuatan, kecuali ditentukan lain dalam Pesanan, pemberitahuan yang ditujukan kepada Pengguna Akhir, atau Adendum Negara.
Batas maksimum 24 bulan dalam ayat sebelumnya tidak berarti bahwa PLUS IMPACT berkewajiban menyimpan data tersebut selama 24 bulan. Apabila Permintaan Subjek Data, instruksi Pelanggan, hukum, keamanan, audit, akuntansi, pengendalian internal, penanganan sengketa, penahanan hukum (legal hold), rotasi pencadangan, atau tujuan terbatas lainnya mensyaratkan retensi yang lebih singkat atau lebih lama atau penghapusan, syarat-syarat tersebut yang berlaku.
Data yang telah dianonimkan, diagregasi, atau dengan cara lain diolah menjadi bentuk yang tidak dapat mengidentifikasi individu dapat terus digunakan oleh PLUS IMPACT setelah Ketentuan Bisnis berakhir.

Pasal 17 (Audit dan Informasi)

Atas permintaan yang wajar dari Pelanggan, PLUS IMPACT memberikan informasi yang wajar mengenai kepatuhannya terhadap DPA ini.
Setiap audit oleh Pelanggan dilakukan dengan metode yang secara wajar ditentukan oleh PLUS IMPACT, sepanjang tidak mengganggu keamanan PLUS IMPACT, kerahasiaan pelanggan lain, rahasia dagang, atau stabilitas sistem.
PLUS IMPACT dapat menolak audit yang berlebihan, audit oleh pihak ketiga, audit di lokasi, pengungkapan kode sumber, dan pengungkapan konfigurasi keamanan rinci yang diminta oleh Pelanggan; dengan ketentuan bahwa hal ini tidak menghalangi para pihak untuk secara terpisah menyepakati lain sebagai ketentuan enterprise.

Pasal 18 (Urutan Prioritas)

Apabila terdapat pertentangan antara DPA ini dan Ketentuan Bisnis, DPA ini berlaku utama sehubungan dengan hal-hal yang berkaitan dengan pemrosesan Data Pribadi; dengan ketentuan bahwa ketentuan Ketentuan Bisnis berlaku terhadap pembatasan tanggung jawab, hukum yang mengatur, penyelesaian sengketa, biaya, dan ketentuan umum lainnya. Setiap Lampiran DPA ini ditafsirkan bersama dengan DPA ini sebagai satu kesatuan yang terpadu.

Lampiran 1: Data My xCORE

1. Prinsip Dasar

My xCORE adalah profil untuk kepentingan Pengguna Akhir sendiri dan dikelola secara terpisah dari Data Pelanggan yang diproses untuk rekrutmen, evaluasi, wawancara, dan manajemen organisasi Pelanggan.

Apabila Pengguna Akhir menyetujui pembuatan atau penyimpanan My xCORE, PLUS IMPACT dapat membuat dan menyimpan salinan informasi yang tercakup dalam persetujuan tersebut sebagai Data My xCORE, secara independen dari pemrosesan yang diarahkan oleh Pelanggan.

Bahkan apabila pemrosesan yang diperlukan untuk lamaran atau evaluasi dan penyimpanan My xCORE disajikan dalam alur layar yang sama, PLUS IMPACT menjelaskan secara terpisah, melalui tampilan di layar atau pemberitahuan privasi, apa yang disimpan, tujuan penggunaan, apakah data diberikan kepada pihak ketiga, dan cara meminta penghapusan atau penghentian penggunaan. Apabila disyaratkan oleh hukum Negara yang Berlaku atau oleh persyaratan Pelanggan, penyimpanan ke My xCORE dikonfirmasi melalui kotak centang terpisah atau layar terpisah.

2. Data yang Dapat Dimasukkan dalam My xCORE

Berdasarkan persetujuan Pengguna Akhir, data berikut dapat dimasukkan dalam My xCORE.

nama, alamat email, nomor telepon, alamat, bahasa, kondisi yang diinginkan, serta informasi identifikasi, kontak, dan informasi dasar lainnya yang dimasukkan atau didaftarkan oleh Pengguna Akhir, atau yang diekstraksi dari CV/resume, dokumen riwayat pekerjaan, atau materi lain yang diserahkan
CV/resume, dokumen riwayat pekerjaan, dan materi lain yang diserahkan, serta riwayat pekerjaan, pendidikan, kualifikasi, keterampilan, pernyataan promosi diri, pengalaman kerja, dan informasi karier atau profil lainnya yang terdapat di dalamnya
riwayat pekerjaan, keterampilan, pengalaman, kondisi yang diinginkan, dan informasi profil terstandardisasi yang diorganisasi oleh Smart Filter
jawaban xCORE Personality, hasil penilaian, ciri perilaku, kecocokan pekerjaan, dan informasi penilaian lain yang distandardisasi untuk Pengguna Akhir
informasi profil yang secara sukarela ditambahkan, diubah, atau disimpan oleh Pengguna Akhir
informasi lain yang ditujukan kepada Pengguna Akhir yang secara tegas disajikan oleh PLUS IMPACT kepada Pengguna Akhir dan yang disetujui oleh Pengguna Akhir

Apabila suatu Adendum Negara membatasi penyimpanan ke My xCORE karena regulasi ketenagakerjaan, rekrutmen, atau data pribadi negara tertentu, persyaratan pemberitahuan dalam bahasa lokal, aturan Transfer Lintas Batas, aturan penggunaan AI, atau aturan pemantauan tempat kerja, ketentuan Adendum Negara tersebut atau Pesanan yang berlaku.

3. Data yang Pada Prinsipnya Tidak Termasuk dalam My xCORE

Data berikut tidak termasuk dalam My xCORE kecuali Pengguna Akhir memberikan persetujuan secara terpisah.

persyaratan pekerjaan khusus Pelanggan, persyaratan peran, kriteria rekrutmen, dan kriteria evaluasi
komentar evaluasi Pelanggan, catatan wawancara, keputusan internal, dan peringkat
skor kesesuaian khusus perusahaan, skor pencocokan khusus pekerjaan, dan skor khusus peran
audio, video, transkrip lengkap, jawaban atas pertanyaan khusus perusahaan, dan skor kesesuaian khusus peran dari AI Interview
Data xCORE Talk
KPI Pelanggan, permasalahan organisasi, informasi dukungan karyawan, dan informasi internal
informasi yang penyimpanannya ke My xCORE dibatasi oleh kontrak dengan Pelanggan atau oleh hukum

4. Penggunaan AI Interview untuk Tujuan yang Berbeda

Secara default, Data AI Interview tidak digunakan untuk My xCORE atau layanan lain yang ditujukan kepada Pengguna Akhir untuk tujuan yang berbeda.

Apabila, di masa mendatang, ringkasan terstandardisasi atau skor tertentu yang dibuat dari AI Interview akan disimpan ke My xCORE, PLUS IMPACT akan menampilkan apa yang disimpan, tujuan penggunaan, apakah data diberikan kepada pihak ketiga, dan dampak yang diperkirakan, serta akan memperoleh opt-in terpisah dari Pengguna Akhir.

Audio, video, transkrip lengkap, dan jawaban atas pertanyaan khusus perusahaan, pada prinsipnya, tidak termasuk dalam apa yang disimpan ke My xCORE.

5. Pemberian kepada Pihak Ketiga dan Penggunaan untuk Tujuan yang Berbeda

PLUS IMPACT tidak, tanpa persetujuan terpisah dari Pengguna Akhir, memberikan Data My xCORE kepada pihak ketiga atau menggunakannya untuk layanan yang ditujukan kepada pihak ketiga yang secara material berbeda dari tujuan yang diberitahukan kepada Pengguna Akhir.

Apabila PLUS IMPACT memberikan data kepada pihak ketiga atau menggunakannya untuk tujuan yang secara material berbeda, PLUS IMPACT menampilkan setidaknya hal-hal berikut dan memperoleh persetujuan Pengguna Akhir.

penerima atau pihak yang akan menggunakan data
tujuan pemberian atau penggunaan
data yang akan diberikan atau digunakan
dampak yang diperkirakan
cara menarik persetujuan
bahwa penarikan kembali secara lengkap mungkin tidak dapat dilakukan setelah pemberian
pembatasan tujuan penerima, pembatasan pembagian lebih lanjut, jangka waktu retensi, atau titik kontak

Lampiran 2: Retensi, Pengembalian, dan Penghapusan

1. Prinsip Dasar

PLUS IMPACT menyimpan data selama jangka waktu yang diperlukan untuk mencapai tujuan penggunaan, jangka waktu yang disyaratkan oleh hukum, jangka waktu yang disyaratkan oleh kontrak, dan jangka waktu yang diperlukan untuk keamanan, pencadangan, audit, akuntansi, pengendalian internal, penanganan sengketa, dan tujuan terbatas lainnya.

Data Pelanggan dikembalikan atau dihapus sesuai dengan instruksi Pelanggan, Pesanan, DPA ini, dan hukum yang berlaku. Data yang disimpan sebagai My xCORE berdasarkan persetujuan Pengguna Akhir sendiri disimpan secara terpisah dari Data Pelanggan.

2. Kategori Retensi

Untuk setiap kategori data di bawah ini, entri menyatakan, secara berurutan: kebijakan standar; aturan penghapusan atau pengembalian; dan pengecualian.

Data Pelanggan: kebijakan standar — jangka waktu yang diperlukan untuk menyediakan Layanan dan mengelola kontrak; penghapusan atau pengembalian — dikembalikan atau dihapus sesuai dengan DPA ini atas permintaan yang wajar dari Pelanggan atau setelah Pesanan berakhir; pengecualian — hukum, akuntansi, audit, keamanan, penanganan sengketa, dan pencadangan.
Data My xCORE: kebijakan standar — jangka waktu selama Pengguna Akhir menghendaki data tersebut disimpan, atau jangka waktu selama PLUS IMPACT secara wajar menyimpannya sesuai dengan hukum yang berlaku dan pemberitahuannya; penghapusan atau pengembalian — dihapus, dikoreksi, atau dihentikan penggunaannya sesuai dengan hukum yang berlaku sebagai tanggapan atas permintaan Pengguna Akhir; pengecualian — hukum, verifikasi identitas, keamanan, penanganan sengketa, dan pencadangan.
Audio, video, dan transkrip lengkap AI Interview: kebijakan standar — tidak disimpan ke My xCORE secara default; disimpan paling lama 24 bulan sejak pengumpulan atau pembuatan untuk pelaksanaan wawancara, verifikasi identitas, pencegahan kecurangan, penyusunan laporan, serta operasi, pemecahan masalah, dan pemeriksaan keamanan, kecuali ditentukan lain dalam Pesanan atau pemberitahuan yang ditujukan kepada Pengguna Akhir; penghapusan atau pengembalian — dihapus sesuai dengan instruksi Pelanggan, Permintaan Subjek Data, atau rencana operasional; pengecualian — hukum, keamanan, penanganan sengketa, dan pencadangan.
Ringkasan terstandardisasi dan skor tertentu AI Interview: kebijakan standar — tidak disimpan ke My xCORE secara default; di masa mendatang dapat disimpan ke My xCORE hanya dengan persetujuan terpisah dari Pengguna Akhir; disimpan sebagai laporan yang ditujukan kepada Pelanggan dan hasil evaluasi paling lama 24 bulan sejak pengumpulan atau pembuatan; penghapusan atau pengembalian — ditangani sebagai tanggapan atas Permintaan Subjek Data, instruksi Pelanggan, atau rencana operasional; pengecualian — hukum, keamanan, penanganan sengketa, dan pencadangan.
Data xCORE Talk: kebijakan standar — diperlakukan sebagai data yang dikendalikan oleh Pelanggan dan dipisahkan dari My xCORE dan profil lain yang ditujukan kepada Pengguna Akhir; isi percakapan, audio, transkrip, ringkasan, skor, sinyal terkait KPI, laporan, dan catatan terkait lainnya disimpan paling lama 24 bulan sejak pengumpulan atau pembuatan, kecuali ditentukan lain dalam Pesanan, Pemberitahuan Aktivasi (Activation Notice), atau pemberitahuan yang ditujukan kepada Pengguna Akhir; penghapusan atau pengembalian — sesuai dengan instruksi Pelanggan, Permintaan Subjek Data, atau syarat penghapusan yang disepakati secara terpisah; pengecualian — hukum, keamanan, penanganan insiden, penanganan sengketa, dan pencadangan.
Log dan catatan audit: kebijakan standar — jangka waktu yang diperlukan untuk keamanan, manajemen akses, penanganan insiden, dan audit; penghapusan atau pengembalian — sesuai dengan kebijakan retensi PLUS IMPACT; pengecualian — hukum, keamanan, dan penanganan sengketa.
Cadangan (backup): kebijakan standar — jangka waktu yang diperlukan untuk kelangsungan usaha, pemulihan bencana, dan keamanan; penghapusan atau pengembalian — dihapus sesuai dengan rotasi pencadangan normal; pengecualian — hukum, keamanan, dan penanganan sengketa.
Data anonim dan agregat: kebijakan standar — dapat disimpan dalam bentuk yang tidak dapat mengidentifikasi individu atau Pelanggan; penghapusan atau pengembalian — dapat berada di luar ruang lingkup penghapusan; pengecualian — tidak dilakukan reidentifikasi.

Batas maksimum 24 bulan di atas tidak berarti bahwa PLUS IMPACT berkewajiban menyimpan data tersebut selama 24 bulan. Apabila Permintaan Subjek Data, instruksi Pelanggan, hukum, penanganan sengketa, keamanan, audit, akuntansi, pengendalian internal, penahanan hukum (legal hold), rotasi pencadangan, atau tujuan terbatas lainnya mensyaratkan demikian, data dapat dihapus dalam jangka waktu yang lebih singkat atau disimpan lebih lama dalam ruang lingkup yang terbatas.

Apabila suatu Adendum Negara, Pesanan, atau jawaban keamanan yang ditujukan kepada Pelanggan yang secara tegas dimasukkan ke dalam DPA ini menetapkan jangka waktu retensi, syarat penghapusan, penyimpanan lokal, retensi tambahan, atau penanganan permintaan otoritas untuk negara tertentu, Pelanggan tertentu, atau fitur tertentu, ketentuan tersebut yang berlaku.

Data anonim dan agregat yang diturunkan dari Data xCORE Talk tidak digunakan, kecuali sepanjang disetujui sebelumnya oleh Pelanggan atau dinyatakan secara tegas dalam Pesanan, untuk tujuan yang tidak berkaitan dengan penyediaan Layanan, materi pihak ketiga, materi iklan atau pemasaran, atau pelatihan, pelatihan ulang, penyetelan (fine-tuning), peningkatan model, atau tujuan serupa atas model AI milik PLUS IMPACT, Afiliasinya, atau pemroses eksternal.

3. Hubungan antara Penghapusan Data Pelanggan dan Data My xCORE

Bahkan apabila Pelanggan meminta penghapusan Data Pelanggan, data yang telah disetujui secara terpisah oleh Pengguna Akhir untuk disimpan sebagai My xCORE dapat disimpan secara independen dalam hubungan dengan Pengguna Akhir tersebut.

Bahkan dalam hal demikian, persyaratan pekerjaan khusus Pelanggan, komentar evaluasi, skor khusus perusahaan, Data xCORE Talk, dan Data AI Interview tidak termasuk dalam My xCORE kecuali Pengguna Akhir memberikan persetujuan secara terpisah.

4. Apabila Penghapusan Tidak Dapat Dilakukan

PLUS IMPACT dapat menyimpan data yang seharusnya dihapus, hanya sepanjang dan selama jangka waktu yang diperlukan, apabila terdapat alasan yang sah seperti hukum, permintaan dari pengadilan atau otoritas administratif, akuntansi dan perpajakan, audit, keamanan, pencadangan, penanganan sengketa, atau pelaksanaan atau pembelaan hak.

Lampiran 3: Pemroses Eksternal dan Pemrosesan AI

PLUS IMPACT dapat, sepanjang diperlukan untuk menyediakan Layanan, menggunakan layanan awan, API AI, pemrosesan suara, penerjemahan, autentikasi, analitik, penyimpanan, pemantauan, dukungan, dan pemroses eksternal lainnya.

PLUS IMPACT membebankan kepada pemroses eksternal pelindungan kontraktual yang wajar secara komersial yang mencakup pelindungan data pribadi, kerahasiaan, keamanan, pembatasan penggunaan untuk tujuan pelatihan model AI, dan hal-hal lainnya.

Atas permintaan yang wajar dari Pelanggan, PLUS IMPACT memberikan informasi mengenai gambaran umum, fitur yang relevan, kegiatan pemrosesan, wilayah pemrosesan, dan pengamanan dari pemroses eksternalnya dalam bentuk daftar pengungkapan Subprosesor tersendiri, jawaban keamanan, atau dokumen yang setara. Dokumen-dokumen tersebut tidak merupakan jaminan tambahan atau perjanjian tingkat layanan berdasarkan DPA ini kecuali sepanjang disepakati secara tegas.

Bahasa

Versi bahasa Inggris DPA ini merupakan teks yang mengikat. Setiap terjemahan DPA ini ke dalam bahasa lain disediakan hanya untuk kemudahan. Apabila terdapat ketidaksesuaian antara versi bahasa Inggris dan terjemahan, versi bahasa Inggris yang berlaku.