Perjanjian Pemrosesan Data Pribadi

Klinik yang disebutkan dalam pesanan layanan adalah Pengendali Data Pribadi. CV. SENTRA ARTIFICIAL INTELLIGENCE INDONESIA, badan usaha pengelola Lumina sebagaimana dinyatakan oleh pemiliknya, adalah Prosesor Data Pribadi. Alamat usaha terdaftar dan kontak privasi yang ditunjuk wajib dilengkapi dalam Lampiran A sebelum penerbitan. ‘Lumina Clinic Software’ merupakan nama produk, bukan pengganti identitas pihak dalam perjanjian.

Perjanjian khusus Indonesia ini melengkapi pesanan layanan. Ketentuan wajib hukum Indonesia mengenai pelindungan data, kesehatan, sistem elektronik, dan bahasa mengesampingkan ketentuan yang bertentangan. Perjanjian ini bukan sertifikasi kepatuhan dan tidak menggantikan penilaian tersendiri untuk Malaysia atau yurisdiksi lain. Kedua versi bahasa merupakan satu perjanjian; untuk layanan Indonesia, Bahasa Indonesia diutamakan apabila terdapat perbedaan penafsiran, dengan tetap tunduk pada hukum yang wajib berlaku.

Klinik menentukan tujuan dan dasar hukum pemrosesan. Lumina hanya boleh memproses berdasarkan instruksi terdokumentasi untuk penjadwalan, rekam klinis, rencana perawatan, persediaan, penagihan, administrasi staf, dukungan, ekspor yang disetujui, dan pelaporan. Instruksi harus menjelaskan tujuan, data, penerima, lokasi, dan retensi. Lumina wajib memberi tahu Klinik jika instruksi tampak melanggar hukum dan menunda instruksi tersebut sampai diselesaikan; permintaan berdasarkan hukum diberitahukan kecuali dilarang.

Subjek data meliputi pasien (termasuk anak dan penyandang disabilitas), wali, personel Klinik, dan pembayar. Data dapat mencakup identitas/kontak, data kesehatan dan rekam medis, janji temu, dokumen, informasi keuangan/pembayaran, serta catatan staf. Data kesehatan merupakan Data Pribadi yang bersifat spesifik. Kegiatan mencakup pengumpulan, penyimpanan, pengorganisasian, pengambilan, perbaikan, pengungkapan yang sah, ekspor, pembatasan, dan penghapusan. Pemrosesan berlangsung selama masa layanan dan masa transisi/retensi yang sah dalam klausul 9.

Klinik wajib mendokumentasikan dasar hukum yang berlaku untuk setiap tujuan, memberikan informasi privasi yang mudah diakses, serta memperoleh dan menyimpan persetujuan yang sah apabila diwajibkan, termasuk ketentuan untuk anak dan penyandang disabilitas. Penerimaan DPA ini bukan persetujuan pasien dan tidak mengizinkan penggunaan sekunder yang tidak terkait.

Lumina wajib segera meneruskan permintaan hak kepada Klinik, memverifikasi dan membatasi pengungkapan sesuai instruksi, menjaga bukti terkait, serta membantu akses, perbaikan, pembatasan, penarikan persetujuan, penghapusan, portabilitas, dan keberatan atas keputusan otomatis yang berdampak signifikan. Permintaan dengan tenggat hukum 3 × 24 jam harus diprioritaskan; Lumina wajib mengonfirmasi dan mulai membantu dalam 24 jam serta menyediakan informasi yang tersedia sebelum tenggat Klinik. Proses persetujuan ekspor massal tidak menunda tenggat hukum atau membatasi akses klinis yang sah. Kewajiban retensi medis dan pengecualian yang sah harus dinilai, bukan menjanjikan penghapusan tanpa syarat.

Lumina wajib menerapkan kontrol akses dengan hak minimum, pemisahan data antar-Klinik, pengiriman aman, pelindungan data tersimpan, akses administratif terkendali, jejak audit, pengelolaan kerentanan dan pembaruan keamanan, prosedur pencadangan/pemulihan, serta proses tanggap insiden yang sesuai untuk data kesehatan. Klinik wajib mengelola pengguna, perangkat, peninjauan akses, dan salinan ekspornya. Staf dan kontraktor yang memiliki akses wajib terikat kerahasiaan dan menerima pelatihan yang sesuai.

Lampiran A harus mencatat langkah teknis terverifikasi, lokasi cadangan, pengujian pemulihan, dan pengaturan retensi. Perjanjian ini tidak menyatakan algoritme enkripsi, sertifikasi keamanan, atau cakupan audit menyeluruh yang belum diverifikasi. Lumina dilarang menjual data Klinik/pasien, menggunakannya untuk iklan, atau melatih model serbaguna dengan data tersebut. Pemrosesan lain yang diinstruksikan secara terpisah memerlukan dasar hukum dan pengamanan dalam perjanjian ini.

Sebelum melibatkan Prosesor lain yang dapat mengakses Data Pribadi Klinik, Lumina wajib memperoleh persetujuan tertulis Klinik sesuai Pasal 51 ayat (5) UU 27/2022. Lampiran A harus menyebutkan setiap badan hukum yang disetujui, layanan, kategori data, lokasi pemrosesan/dukungan, retensi, dan Prosesor lanjutan. Penyebutan umum ‘penyedia cloud’ bukan persetujuan yang memadai.

Lumina wajib memberitahukan perubahan sebelumnya, memperoleh persetujuan tertulis yang diperlukan sebelum pemrosesan baru, dan menawarkan alternatif yang sah atau pengakhiran teratur jika kesepakatan tidak tercapai. Ketentuan tertulis sub-prosesor wajib memuat kewajiban yang sesuai mengenai instruksi, kerahasiaan, keamanan, bantuan, pelaporan insiden, transfer, pengembalian, dan penghapusan. Lumina tetap bertanggung jawab atas kewajibannya sendiri dan wajib memantau pengamanan yang diperjanjikan.

Ketentuan sektor kesehatan yang berlaku diutamakan daripada fleksibilitas umum hosting cloud. Untuk kerja sama penyimpanan Rekam Medis Elektronik yang dimaksud dalam Pasal 22 Permenkes 24/2022, diperlukan fasilitas penyimpanan data di dalam negeri dan rekomendasi Kementerian yang dipersyaratkan. Persyaratan sertifikasi, cadangan, akses, dan interoperabilitas yang relevan harus diverifikasi sebelum suatu penerapan digunakan sebagai sistem Rekam Medis Elektronik Klinik yang diatur hukum.

Untuk pemrosesan, pencadangan, atau akses dukungan di luar negeri yang diperbolehkan hukum, para pihak wajib mendokumentasikan tujuan negara, penerima, tujuan pemrosesan, data, dan mekanisme transfer Pasal 56 secara berurutan: tingkat pelindungan setara atau lebih tinggi; apabila tidak tersedia, pelindungan yang memadai dan mengikat; jika keduanya tidak tersedia, persetujuan Subjek Data Pribadi yang diwajibkan hukum. Kontrak cloud asing atau DPA ini saja bukan bukti kesetaraan pelindungan dan tidak mengesampingkan ketentuan rekam medis dalam negeri. Tujuan negara baru memerlukan peninjauan sebelum transfer. Para pihak wajib menilai kebutuhan dan risiko transfer, mendokumentasikan efektivitas pengamanan dan transfer lanjutan, memberikan informasi yang diwajibkan kepada Subjek Data Pribadi, serta menilai ulang pengaturan secara berkala.

Lumina wajib memberi tahu Klinik tanpa penundaan yang tidak semestinya dan paling lambat 24 jam setelah mengetahui kegagalan Pelindungan Data Pribadi yang memengaruhi Klinik, melalui kontak insiden yang ditunjuk Klinik. Ini adalah komitmen pemberitahuan awal berdasarkan kontrak, bukan pengganti tenggat hukum. Pemberitahuan awal tidak boleh menunggu investigasi lengkap; pembaruan diberikan seiring diperolehnya fakta.

Pemberitahuan harus menjelaskan data dan orang yang terdampak sejauh diketahui, kapan dan bagaimana pengungkapan terjadi, tindakan penanganan/pemulihan, kemungkinan dampak, serta kontak insiden. Lumina wajib menjaga bukti dan membantu investigasi serta perbaikan. Klinik tetap bertanggung jawab atas pemberitahuan tertulis kepada Subjek Data Pribadi dan lembaga yang berwenang dalam jangka waktu 3 × 24 jam yang berlaku berdasarkan Pasal 46, serta pemberitahuan kepada masyarakat apabila diwajibkan; para pihak berkoordinasi tanpa menunda pemberitahuan atau membatasi kewajiban hukum Prosesor sendiri.

Admin Klinik yang aktif dapat mengajukan permintaan ekspor resmi melalui Pengaturan. Pemberitahuan dikirim ke bsean@buildmomentum.xyz untuk verifikasi dan persetujuan. Ekspor hanya mencakup Klinik tersebut; ZIP berisi catatan terstruktur dan lampiran yang dapat diambil, tanpa rahasia akses/undangan aktif atau data seluruh platform. Hanya admin Klinik yang aktif dapat melihat aktivitas permintaan dan memperoleh tautan unduhan privat berumur singkat. Setiap persetujuan dan penerbitan tautan dicatat.

Salinan unduhan tersedia selama 7 hari, kemudian dihapus melalui proses retensi; hal ini tidak menghapus rekam medis sumber. Ekspor besar atau gagal memerlukan pengiriman aman dengan bantuan. Para pihak wajib menyediakan akses alternatif tepat waktu jika persetujuan, batas ukuran, atau gangguan layanan menghambat hak berdasarkan hukum, kesinambungan pelayanan, atau akses sah Klinik. Ekspor merupakan salinan data, bukan cadangan tersertifikasi atau pelepasan hak pasien.

Klinik wajib menetapkan dan mendokumentasikan jadwal retensi yang sah. Rekam Medis Elektronik yang tunduk pada Pasal 39 Permenkes 24/2022 wajib disimpan paling singkat 25 tahun sejak kunjungan terakhir pasien, dengan retensi lebih lanjut yang sah apabila berlaku. Pembatalan langganan, kedaluwarsanya unduhan, atau permintaan pasien tidak otomatis mengesampingkan kewajiban ini.

Saat layanan berakhir, para pihak wajib menyepakati rencana pengembalian/migrasi aman, memverifikasi salinan penerima dan kesinambungan retensi wajib, serta mendokumentasikan tanggung jawab sebelum penghapusan. Lumina wajib menghapus salinan layanan berdasarkan instruksi tertulis Klinik yang sah setelah serah terima, kecuali data yang wajib disimpan menurut hukum. Data yang dipertahankan dibatasi untuk tujuan retensi. Salinan aktif, cadangan, tanggal penghapusan, dan penahanan karena proses hukum dicatat dalam rencana pengakhiran, disertai konfirmasi tertulis penghapusan yang selesai. Tidak ada penghapusan rekam medis tanpa syarat setelah 90 hari.

Klinik tetap bertanggung jawab atas pencatatan profesional, keakuratan, perbaikan yang sah, kerahasiaan, akses pasien, dan pengungkapan. Dokumen rekam medis merupakan milik Fasilitas Pelayanan Kesehatan dan isinya milik pasien sebagaimana diatur dalam ketentuan rekam medis. Para pihak wajib menjaga perbedaan tersebut; Lumina tidak memperoleh hak kepemilikan tersendiri atas rekam medis.

Klinik dan Lumina wajib mendokumentasikan tanggung jawab masing-masing atas pendaftaran sistem elektronik Indonesia, penyimpanan dalam negeri, sertifikasi keamanan, rekomendasi Kementerian, serta interoperabilitas data kesehatan Kementerian, termasuk SATUSEHAT apabila berlaku. DPA, fitur ekspor, atau akun Klinik bukan bukti terpenuhinya persyaratan teknis/peraturan tersebut.

Pemrosesan AI opsional memerlukan instruksi Klinik yang terdokumentasi, pemberitahuan/dasar hukum yang diperlukan, minimisasi, serta persetujuan atas gateway dan penyedia model yang sebenarnya, termasuk lokasi, retensi, dan pemrosesan lanjutannya. Rekam medis yang dapat mengidentifikasi seseorang tidak boleh dikirim ke layanan AI sebelum syarat tersebut serta aturan transfer/kesehatan dipenuhi. Hasil memerlukan peninjauan manusia dan tidak boleh menjadi satu-satunya dasar keputusan klinis atau keputusan lain yang berdampak hukum signifikan.

Lampiran A harus membedakan penyedia hosting aplikasi/database dari penyedia AI dan email. Email persetujuan ekspor hanya berisi metadata permintaan, bukan rekam pasien atau lampiran ZIP. Staf yang menyalin ringkasan pasien ke email atau WhatsApp wajib memverifikasi penerima dan keabsahan pengungkapan, membatasi isi, serta menggunakan saluran yang disetujui. Draf yang disalin bukan bukti pasien telah menerima atau menyetujuinya.

Masing-masing pihak wajib menilai dan mendokumentasikan pemrosesan berisiko tinggi, termasuk data kesehatan spesifik, pemrosesan skala besar, teknologi baru, dan keputusan otomatis yang berdampak signifikan, serta melakukan penilaian dampak Pelindungan Data Pribadi apabila diwajibkan. Lumina wajib menyediakan informasi dan bantuan yang relevan dengan pemrosesannya.

Masing-masing pihak wajib menilai kewajiban menunjuk pejabat atau petugas fungsi Pelindungan Data Pribadi berdasarkan Pasal 53–54 UU 27/2022, dengan memperhatikan Putusan MK 151/PUU-XXII/2024: kriteria bersifat alternatif-kumulatif (‘dan/atau’), bukan harus memenuhi seluruh kriteria sekaligus. Kontak, tanggung jawab, catatan pemrosesan, dan keputusan risiko wajib dipelihara dan disediakan sebagaimana dipersyaratkan.

Lumina wajib memberikan bukti kepatuhan yang wajar diperlukan dan mengizinkan audit proporsional dengan pengamanan kerahasiaan, tanpa membuka data Klinik lain. Pengaturan audit rutin tidak boleh menunda investigasi insiden atau akses sah regulator. Para pihak wajib bekerja sama dengan otoritas berwenang, memelihara catatan pemrosesan, dan mendokumentasikan tindakan perbaikan.

Permintaan pemerintah atau pihak ketiga wajib diverifikasi, dibatasi pada data yang diwajibkan hukum, dan diberitahukan kepada Klinik kecuali dilarang. Tidak ada ketentuan perjanjian ini yang menghapus akuntabilitas berdasarkan hukum, upaya pemulihan Subjek Data Pribadi, atau kewajiban yang langsung berlaku bagi masing-masing pihak.

Penerimaan harus mengidentifikasi versi naskah yang sebenarnya, bahasa yang ditampilkan, penandatangan berwenang, dan waktu. Naskah Bahasa Inggris dan Bahasa Indonesia harus tersedia sebelum penerimaan. Pratinjau, tanggal pada parameter URL, atau pencetakan halaman ini bukan bukti tanda tangan. Catatan penerimaan lama tetap terkait dengan naskah aslinya; revisi memerlukan penerimaan baru dan tidak boleh mengganti label perjanjian lama.

Revisi ini merupakan draf sampai Lampiran A dilengkapi, komitmen operasional diverifikasi, dan diterbitkan secara resmi. Penerbitan tidak berlaku surut. PP 33/2026 mulai berlaku 16 Januari 2027 berdasarkan Pasal 225; sebelum tanggal tersebut para pihak wajib menyelesaikan peninjauan kesiapan, termasuk prosedur insiden (Pasal 114–117), kewajiban Prosesor (Pasal 139–141), kriteria petugas (Pasal 142), dan transfer luar negeri (Pasal 160–174). Ketentuan mendatang ini tidak menunda kewajiban yang sudah berlaku berdasarkan UU 27/2022. Jika hukum atau fakta penerapan terverifikasi berubah, para pihak wajib meninjau serta memperbarui perjanjian dan instruksi sebelum pemrosesan yang terdampak.

Nama badan usaha Prosesor yang diberikan pemilik: CV. SENTRA ARTIFICIAL INTELLIGENCE INDONESIA. Alamat usaha terdaftar: menunggu konfirmasi. Kontak privasi/insiden dan kontak eskalasi Klinik: harus ditunjuk. Penerima resmi permintaan ekspor: bsean@buildmomentum.xyz.

Layanan yang teridentifikasi dalam kode: Supabase (autentikasi, database, penyimpanan berkas, dan pemrosesan ekspor); Vercel (hosting aplikasi dan AI Gateway opsional); penyedia model yang dikonfigurasi (saat ini Anthropic secara bawaan, dapat diubah); Spacemail (email permintaan resmi). Untuk masing-masing, konfirmasikan badan hukum pihak kontrak, tujuan, kategori Data Pribadi, negara/wilayah termasuk cadangan dan dukungan, retensi, dasar transfer, serta persetujuan tertulis Klinik. Pemilik menyatakan proyek Supabase berlokasi di Mumbai, India. Konfigurasi database/penyimpanan, cadangan, dan lokasi dukungan belum diverifikasi secara independen. Pendaftaran PSE Indonesia dan rekomendasi Kementerian Kesehatan yang diperlukan belum terverifikasi. Hosting Mumbai tidak boleh dinyatakan memenuhi persyaratan penyimpanan rekam medis dalam negeri Indonesia; selesaikan kesesuaian penerapan pada klausul 6 sebelum menyatakan layanan ini sebagai RME teregulasi yang patuh. Daftar ini bukan rincian sub-prosesor yang telah disetujui atau lengkap.

Verifikasi sebelum penerbitan: kesesuaian penyimpanan Indonesia dan rekomendasi Kementerian yang diperlukan; pendaftaran sistem elektronik dan interoperabilitas kesehatan; enkripsi dan kontrol administratif; pengujian cadangan/pemulihan serta siklus penghapusan; personel insiden dan respons 24 jam; penerapan fungsi ekspor, penyimpanan privat, kredensial email, serta penghapusan terjadwal. Hal yang belum diverifikasi tidak boleh dinyatakan sebagai kontrol yang telah selesai diterapkan.