Prinsip Kepatuhan GDPR

Di Eesti Firma (nama resmi Eesti Firma OÜ, nomor pendaftaran 14164797, alamat terdaftar: Vesivärava 50-301, 10152 Tallinn, Estonia), perlindungan data pribadi Anda adalah prioritas tertinggi kami. Sebagai Trust and Company Service Provider Estonia berlisensi, kami memproses data pribadi sepenuhnya sesuai dengan Peraturan Perlindungan Data Umum (EU) 2016/679 (GDPR) dan Undang-Undang Perlindungan Data Pribadi Estonia (Isikuandmete kaitse seadus). Komitmen kami terhadap privasi didasarkan pada prinsip pemrosesan data yang ditetapkan dalam Pasal 5 GDPR.

Prinsip-prinsip ini memandu seluruh keputusan kami mengenai cara kami memproses data Anda dan mendasari prosedur internal kami. Di bawah ini, kami menjelaskan setiap prinsip, penerapannya dalam praktik, hak Anda sebagai subjek data, serta cara menghubungi otoritas pengawas yang berwenang. Informasi terperinci mengenai operasi pemrosesan data tertentu dan langkah perlindungan tersedia dalam Kebijakan Privasi kami.

Keabsahan Hukum, Keadilan, dan Transparansi

Kami memproses data pribadi secara sah, adil, dan transparan terhadap Anda, sebagaimana diwajibkan oleh Pasal 5(1)(a) GDPR. Artinya, setiap pemrosesan data dilakukan berdasarkan dasar hukum yang sah, secara jujur, dan terbuka terhadap Anda sebagai subjek data. Dalam prinsip ini, kami menerapkan pendekatan berikut:

• Keabsahan hukum: Kami mengumpulkan dan menggunakan data pribadi Anda hanya apabila terdapat dasar yang jelas dan sah berdasarkan Pasal 6 GDPR. Dasar hukum kami mencakup persetujuan Anda yang diberikan secara sadar (jika diperlukan), pelaksanaan kewajiban kontraktual, kepatuhan terhadap persyaratan hukum (misalnya, kewajiban anti-pencucian uang dan KYC), atau kepentingan bisnis sah kami yang tidak mengesampingkan hak Anda. Anda selalu akan diberi tahu dasar hukum pemrosesan data Anda.
• Keadilan: Kami memastikan keadilan dalam pemrosesan data. Artinya, kami tidak mengumpulkan data secara menipu atau menggunakannya untuk merugikan Anda. Kami tidak pernah menyesatkan Anda mengenai tujuan pengumpulan informasi atau cara penggunaannya. Selain itu, kami mempertimbangkan kepentingan dan hak Anda—misalnya, kami menjamin pelaksanaan hak Anda secara non-diskriminatif (seperti hak mengakses data Anda), terlepas dari ketentuan layanan. Pemrosesan data dilakukan untuk menghindari kerugian yang tidak dapat dibenarkan terhadap privasi Anda.
• Transparansi: Kami berkomunikasi secara terbuka dan jelas tentang alasan serta cara data Anda digunakan. Semua informasi pemrosesan diberikan dalam bahasa yang mudah dipahami, tanpa jargon hukum berlebihan. Kebijakan Privasi kami dan pemberitahuan lainnya selalu mudah diakses sehingga Anda dapat setiap saat mengetahui data apa yang kami kumpulkan, atas dasar apa, dan untuk tujuan apa. Bila diperlukan, kami menggunakan pendekatan berlapis untuk memberi tahu Anda—kami menyoroti poin utama dan menyediakan rincian melalui tautan tambahan atau tooltip. Kami secara berkala memperbarui informasi kami agar tetap terkini dan memberi tahu Anda tentang perubahan signifikan. Transparansi ini memastikan Anda mengetahui secara tepat cara data pribadi Anda diproses.

Pembatasan Tujuan

Sesuai Pasal 5(1)(b) GDPR, kami mengumpulkan dan menggunakan data pribadi hanya untuk tujuan tertentu, yang telah ditentukan sebelumnya, dan sah, yang diberitahukan kepada Anda di muka. Artinya, data Anda digunakan secara eksklusif untuk tujuan pengumpulannya. Kami tidak menggunakan informasi pribadi dengan cara baru yang tidak sesuai dengan tujuan awal. Misalnya, jika Anda memberikan alamat email untuk menerima pembaruan tentang layanan kami, kami tidak akan membagikannya kepada mitra untuk periklanan tanpa sepengetahuan dan persetujuan Anda.

Semua tujuan pemrosesan didokumentasikan dengan jelas—dalam catatan internal dan dokumen publik kami (seperti Kebijakan Privasi), kami menentukan alasan pengumpulan data tertentu. Jika terdapat kebutuhan untuk menggunakan data untuk tujuan baru yang tidak selaras dengan tujuan awal, kami akan terlebih dahulu memperoleh persetujuan terpisah dari Anda atau memastikan adanya dasar hukum lain untuk pemrosesan. Dengan demikian, Anda dapat yakin bahwa data pribadi Anda tidak akan digunakan secara tidak terduga atau melampaui tujuan yang mula-mula dinyatakan.

Minimalisasi Data

Kami mematuhi prinsip minimalisasi data (Pasal 5(1)(c) GDPR), yang berarti kami hanya mengumpulkan informasi pribadi yang benar-benar diperlukan untuk tujuan pemrosesan yang dinyatakan. Dalam praktiknya, hal ini diterapkan sebagai berikut:

• Kami hanya meminta jumlah data minimum yang diperlukan untuk menyediakan layanan yang diminta atau memenuhi kontrak. Formulir dan survei di situs web kami dirancang agar tidak mengumpulkan informasi yang tidak diperlukan. Misalnya, jika pendaftaran webinar hanya memerlukan nama dan email Anda, kami tidak akan meminta data tambahan yang tidak terkait.
• Prinsip “tidak ada yang berlebihan” membantu kami mengurangi risiko terhadap privasi Anda. Semakin sedikit data yang disimpan dan diproses, semakin rendah kemungkinan kebocoran atau akses tidak sah. Kami tidak mengumpulkan informasi “untuk berjaga-jaga”, dengan menimbun data yang mungkin suatu hari berguna. Semua permintaan informasi didasarkan secara cermat pada kebutuhan khusus.
• Kami juga secara berkala meninjau data yang kami kumpulkan, dengan menghapus bidang atau permintaan yang tidak esensial. Dengan demikian, kami memastikan bahwa dalam setiap interaksi, kami hanya meminta informasi yang sungguh diperlukan untuk mencapai tujuan yang ditetapkan.

Akurasi

Menjaga data pribadi tetap akurat dan terkini (Pasal 5(1)(d) GDPR) merupakan prinsip utama lain yang kami patuhi. Kami melakukan setiap upaya yang wajar untuk memastikan informasi yang kami miliki tentang Anda benar, lengkap, dan terkini, karena hal ini memengaruhi kualitas layanan kami dan kepercayaan Anda. Untuk memastikan akurasi, kami menerapkan langkah berikut:

• Pembaruan Berkala: Jika data pribadi Anda berubah (misalnya, Anda memperbarui nomor kontak atau alamat), kami segera mencerminkan perubahan tersebut dalam sistem kami. Kami berupaya mencegah keputusan dibuat berdasarkan informasi yang usang atau tidak benar.
• Perbaikan Kesalahan: Jika Anda menemukan rincian Anda tidak benar atau usang, Anda selalu dapat memberi tahu kami – kami akan segera memperbaiki kesalahan tersebut. Selain itu, Anda memiliki hak untuk memperbaiki (koreksi) data yang tidak akurat berdasarkan Pasal 16 GDPR, yang sepenuhnya kami hormati dengan menyediakan cara yang mudah bagi Anda untuk memberitahukan ketidakakuratan apa pun.
• Verifikasi Data Kritis: Dalam kasus ketika akurasi data sangat penting (misalnya, untuk transaksi keuangan atau penyediaan layanan yang signifikan secara hukum), kami dapat mengambil langkah tambahan untuk memverifikasi dan mengonfirmasi informasi. Hal ini dapat mencakup permintaan dokumen pendukung atau pemeriksaan silang data dengan Anda. Semua langkah ini memastikan basis data kami hanya berisi informasi yang akurat.
• Penghapusan Data Tidak Akurat: Sesuai persyaratan GDPR, data yang tidak akurat atau tidak lengkap dan tidak dapat diperbaiki harus dihapus tanpa penundaan yang tidak semestinya. Kami mematuhi aturan ini: jika informasi apa pun ditemukan tidak akurat terkait tujuan pemrosesannya dan tidak dapat diperbaiki, kami akan segera menghapusnya untuk mencegah kemungkinan konsekuensi negatif.

Kerja sama Anda juga sangat penting untuk menjaga akurasi: harap beri tahu kami jika data pribadi Anda berubah atau perlu diperbaiki. Kami menghargai sikap proaktif Anda, karena data yang akurat sangat penting bagi penyediaan layanan yang efektif dan perlindungan hak Anda.

Pembatasan Penyimpanan

Kami menyimpan data pribadi tidak lebih lama daripada yang diperlukan untuk mencapai tujuan pengumpulannya. Prinsip pembatasan penyimpanan ini (Pasal 5(1)(e) GDPR) berarti setiap kategori data memiliki jangka waktu penyimpanan yang ditetapkan, setelah itu informasi dihapus atau dianonimkan secara aman. Berikut cara kami memastikannya:

• Jangka Waktu Penyimpanan yang Jelas: Kami menetapkan jangka waktu penyimpanan yang wajar untuk berbagai jenis data pribadi, dengan mempertimbangkan tujuan pemrosesan, kewajiban hukum dan kontraktual kami, serta persyaratan hukum yang berlaku. Misalnya, data transaksi dan akuntansi disimpan selama jangka waktu yang diwajibkan oleh hukum perpajakan dan akuntansi Estonia (umumnya tujuh tahun), sedangkan data yang dikumpulkan untuk satu pertanyaan disimpan untuk durasi lebih singkat. Semua jangka waktu penyimpanan tercermin dalam kebijakan internal kami dan kami mematuhinya secara ketat.
• Peninjauan Berkala: Kami secara berkala meninjau kebijakan penyimpanan data untuk memastikan kebijakan tersebut tetap terkini. Jika proses bisnis berubah atau undang-undang diperbarui, kami menyesuaikan jangka waktu penyimpanan data. Audit tersebut membantu mengidentifikasi data pribadi yang tidak lagi diperlukan. Kami melakukan peninjauan untuk mendeteksi data yang tidak digunakan atau usang dan menghapusnya jika tidak diperlukan untuk tujuan sah apa pun.
• Penghapusan Aman: Setelah jangka waktu penyimpanan berakhir (atau lebih awal, jika data tidak diperlukan lagi), kami menghapus data pribadi dengan cara yang tidak memungkinkan pemulihan atau identifikasi. Dalam beberapa kasus, jika penghapusan segera tidak memungkinkan karena kendala teknis, kami terlebih dahulu menganonimkan data (memisahkannya dari identitas Anda) lalu menghapusnya ketika memungkinkan. Kami juga dapat menyimpan data melampaui jangka waktu penyimpanan yang ditetapkan hanya jika diizinkan oleh hukum – misalnya, jika data disimpan untuk tujuan pengarsipan demi kepentingan publik atau untuk tujuan ilmiah atau statistik sesuai Pasal 89(1) GDPR. Bahkan dalam kasus tersebut, kami memastikan perlindungan kerahasiaan yang sesuai.

Dengan meminimalkan jangka waktu penyimpanan data pribadi, kami mengurangi risiko penyalahgunaan data atau kerentanan terhadap pelanggaran dari waktu ke waktu. Anda dapat yakin bahwa kami tidak menyimpan data Anda lebih lama dari yang diperlukan dan mematuhi tenggat waktu yang ditetapkan secara ketat.

Integritas dan Kerahasiaan

Kami mengambil semua langkah untuk memastikan integritas dan kerahasiaan data pribadi Anda (Pasal 5(1)(f) GDPR), melindunginya dari akses, perubahan, pengungkapan, atau penghancuran yang tidak sah. Prinsip keamanan data ini diterapkan secara menyeluruh – melalui sarana teknis dan organisasi. Berikut cara kami melindungi data Anda:

• Teknologi Keamanan Modern: Kami menerapkan langkah keamanan teknis yang sesuai untuk melindungi informasi pribadi, termasuk enkripsi data, firewall, solusi antivirus, sistem deteksi intrusi, dan alat keamanan siber lainnya. Langkah-langkah ini proporsional dengan sifat dan volume data yang diproses serta risiko potensial. Misalnya, data sensitif dapat disimpan dalam bentuk terenkripsi, dan akses ke sistem yang berisi data pribadi dibatasi secara ketat hanya kepada individu yang berwenang. Kami secara rutin menilai risiko dan memperbarui langkah keamanan guna menghadapi ancaman baru. Infrastruktur IT kami dipantau untuk kerentanan, dan kami segera memasang pembaruan serta patch untuk mencegah insiden.
• Langkah Organisasi dan Pengendalian Akses: Selain teknologi, kami menerapkan aturan organisasi yang ketat untuk penanganan data. Akses ke data pribadi Anda dibatasi secara eksklusif kepada karyawan atau pihak berwenang yang memerlukannya untuk menjalankan tugasnya (prinsip “hak akses minimum”). Setiap karyawan bertindak dalam kewenangannya dan menerima pelatihan tentang persyaratan keamanan data. Kami membuat perjanjian kerahasiaan (NDAs) dengan semua karyawan dan kontraktor pihak ketiga yang dapat mengakses informasi, yang secara hukum mengikat mereka untuk menjaga kerahasiaan. Sesi pelatihan dan pengarahan berkala mengenai praktik terbaik perlindungan data dilakukan untuk memastikan staf menyadari ancaman terkini dan strategi pencegahan.
• Respons Insiden dan Pemantauan: Kami memiliki prosedur internal untuk merespons insiden keamanan. Dalam kejadian pelanggaran data pribadi yang kecil kemungkinannya terjadi, kami mengikuti rencana respons: mulai dari perbaikan kerentanan segera hingga pemberitahuan kepada otoritas pengawas dalam 72 jam dan pemberitahuan kepada subjek data yang terdampak apabila diwajibkan oleh Pasal 33 dan 34 GDPR. Kami menyimpan catatan semua insiden data pribadi, menganalisis penyebabnya untuk mencegah kejadian berulang. Selain itu, sistem keamanan kami diaudit secara berkala – kami melakukan audit internal dan eksternal, uji penetrasi, serta penilaian lain untuk memastikan standar keamanan kami tetap kuat dan terkini.

Dengan mematuhi prinsip ini, kami memastikan data pribadi Anda disimpan dan diproses dengan standar keamanan tinggi. Integritas data memastikan informasi tetap tidak berubah dan akurat dalam sistem, sedangkan kerahasiaan memastikan individu yang tidak berwenang tidak dapat mengaksesnya. Bersama-sama, langkah-langkkah ini membantu kami mempertahankan tingkat kepercayaan dan keamanan yang tinggi.

Akuntabilitas

Eesti Firma OÜ sepenuhnya mengakui tanggung jawabnya untuk mematuhi prinsip GDPR dan dapat menunjukkan kepatuhan ini. Prinsip akuntabilitas (Pasal 5(2) GDPR) berarti kami tidak hanya mematuhi peraturan, tetapi juga dapat memberikan bukti praktis dan terdokumentasi atas kepatuhan kami. Berikut cara akuntabilitas diterapkan di perusahaan kami:

• Kepatuhan terintegrasi: Kami telah mengintegrasikan persyaratan GDPR ke dalam seluruh proses bisnis. Setiap karyawan yang menangani data pribadi memahami dan mematuhi prinsip perlindungan data. Kami memiliki kebijakan dan pedoman yang jelas untuk mengatur pengumpulan, penggunaan, transfer, dan penyimpanan data, dan dokumen ini dikomunikasikan kepada staf. Prinsip GDPR tertanam dalam budaya perusahaan kami, sehingga memastikan standar pengelolaan data yang tinggi secara konsisten di semua tingkat.
• Petugas Perlindungan Data yang ditunjuk: Sebagai bagian dari komitmen terhadap akuntabilitas, kami telah menunjuk Petugas Perlindungan Data (DPO) – Ilja Nikiforov – yang rincian kontaknya tersedia di bawah ini. DPO memantau kepatuhan GDPR dalam perusahaan, memberi saran kepada staf kami mengenai privasi, serta bertindak sebagai titik kontak bagi Anda dan otoritas pengawas. Keberadaan DPO khusus mencerminkan keseriusan komitmen kami terhadap perlindungan data.
• Audit internal dan penilaian risiko: Kami secara rutin melakukan audit internal (dan melibatkan auditor eksternal bila diperlukan) untuk memastikan praktik kami mematuhi persyaratan GDPR. Risiko potensial terhadap keamanan dan privasi dianalisis, dan langkah perbaikan diambil berdasarkan temuan audit. Jika suatu jenis pemrosesan kemungkinan menimbulkan risiko tinggi bagi individu, kami melakukan Penilaian Dampak Perlindungan Data (DPIA) sesuai Pasal 35 GDPR. Pendekatan pemantauan dan peningkatan berkelanjutan ini membantu kami menjaga langkah perlindungan data tetap terkini dan cepat beradaptasi terhadap perubahan.
• Pelatihan dan kesadaran: Kami berinvestasi dalam pendidikan karyawan mengenai perlindungan data. Sesi pelatihan, buletin, dan penilaian pengetahuan dilakukan secara berkala untuk memastikan semua orang mengetahui perkembangan dan persyaratan industri terbaru. Keamanan data sangat bergantung pada tindakan individu, sehingga kami membangun budaya yang membuat setiap orang memahami peran dan tanggung jawabnya.
• Kesiapan pelaporan: Setiap saat, kami siap menunjukkan kepatuhan GDPR kepada Anda maupun otoritas pengawas. Transparansi kami mencakup bidang ini: Anda dapat meminta informasi mengenai data Anda dan kami akan memberikan semua rincian yang diperlukan. Demikian pula, dalam hal audit pengawasan, kami telah menyiapkan dokumentasi dan proses yang mengonfirmasi akuntabilitas kami. Kami menyadari kepercayaan klien secara langsung bergantung pada akuntabilitas kami, sehingga prinsip ini menjadi landasan operasi kami.

Hak Anda sebagai Subjek Data

GDPR memberi Anda berbagai hak atas data pribadi Anda. Kami menghormati hak-hak ini dan menyediakan cara yang mudah bagi Anda untuk menggunakannya. Tunduk pada syarat dan pengecualian yang ditetapkan dalam GDPR, Anda memiliki:

• Hak untuk diberi informasi (Pasal 13–14): untuk menerima informasi yang jelas tentang cara dan alasan data pribadi Anda diproses.
• Hak akses (Pasal 15): untuk memperoleh konfirmasi apakah kami memproses data Anda dan menerima salinannya.
• Hak perbaikan (Pasal 16): untuk memperbaiki data pribadi yang tidak akurat atau tidak lengkap.
• Hak penghapusan / “hak untuk dilupakan” (Pasal 17): untuk meminta penghapusan data Anda apabila tidak ada dasar hukum yang lebih kuat untuk menyimpannya.
• Hak pembatasan pemrosesan (Pasal 18): untuk membatasi cara kami menggunakan data Anda dalam keadaan tertentu.
• Hak portabilitas data (Pasal 20): untuk menerima data yang Anda berikan dalam format yang terstruktur, umum digunakan, dan dapat dibaca mesin, serta memintanya ditransfer apabila secara teknis memungkinkan.
• Hak untuk keberatan (Pasal 21): untuk keberatan terhadap pemrosesan berdasarkan kepentingan sah kami, dan keberatan terhadap pemasaran langsung kapan saja.
• Hak terkait pengambilan keputusan otomatis (Pasal 22): untuk tidak menjadi subjek keputusan yang hanya didasarkan pada pemrosesan otomatis yang menghasilkan akibat hukum atau akibat signifikan serupa.
• Hak untuk menarik persetujuan (Pasal 7(3)): apabila pemrosesan didasarkan pada persetujuan, untuk menariknya kapan saja tanpa memengaruhi keabsahan pemrosesan yang dilakukan sebelum penarikan.
• Hak untuk mengajukan keluhan (Pasal 77): untuk menghubungi otoritas pengawas yang berwenang (lihat bagian di bawah).

Untuk menggunakan salah satu hak ini, silakan hubungi kami melalui rincian di bagian Informasi Kontak. Kami akan merespons dalam satu bulan, sebagaimana diwajibkan GDPR. Jangka waktu ini dapat diperpanjang hingga dua bulan tambahan untuk permintaan yang kompleks atau banyak, dan dalam hal tersebut kami akan memberi tahu Anda alasannya. Penanganan permintaan Anda tidak dipungut biaya kecuali permintaan tersebut nyata-nyata tidak berdasar atau berlebihan. Kami mungkin perlu memverifikasi identitas Anda sebelum menindaklanjuti permintaan.

Otoritas Pengawas dan Hak untuk Mengajukan Keluhan

Jika Anda meyakini kami telah memproses data pribadi Anda dengan melanggar hukum perlindungan data, kami mendorong Anda untuk menghubungi kami terlebih dahulu agar kami dapat menangani kekhawatiran Anda secara langsung. Anda juga berhak, berdasarkan Pasal 77 GDPR, untuk mengajukan keluhan kepada otoritas pengawas yang berwenang. Di Estonia, otoritas tersebut adalah Inspektorat Perlindungan Data (Andmekaitse Inspektsioon):

• Otoritas: Estonian Data Protection Inspectorate (Andmekaitse Inspektsioon)
• Alamat: Tatari 39, 10134 Tallinn, Estonia
• Email: [email protected]
• Telepon: +372 627 4135 (jalur konsultasi +372 5620 2341, Sen–Kam 13:00–16:00)
• Situs web: www.aki.ee

Jika Anda tinggal atau bekerja di negara EU/EEA lain, sebagai alternatif Anda dapat mengajukan keluhan kepada otoritas pengawas di negara tersebut.

Kesimpulan

Komitmen mendasar kami untuk melindungi privasi Anda dan menjaga kepercayaan Anda berarti kepatuhan GDPR lebih dari sekadar formalitas – kepatuhan ini merupakan bagian integral dari operasi harian kami. Kepatuhan pada seluruh prinsip yang disebutkan di atas – keabsahan hukum, keadilan, transparansi, pembatasan tujuan, minimalisasi data, akurasi, pembatasan penyimpanan, integritas dan kerahasiaan, serta akuntabilitas – memastikan data pribadi Anda diproses dengan cara yang paling benar dan aman. Kami melampaui persyaratan hukum karena kami menghargai kepercayaan Anda.

Sejalan dengan semangat GDPR, kami terus meningkatkan praktik perlindungan data dan merespons perubahan persyaratan peraturan dengan cepat. Anda dapat yakin bahwa informasi pribadi Anda berada di tangan yang aman, dan kami terus berupaya memastikan hal ini tetap demikian.

Pembaruan dan Informasi Hukum

Kami berhak memperbarui atau mengubah dokumen ini secara berkala untuk mencerminkan perubahan dalam praktik pemrosesan data, perundang-undangan, atau persyaratan peraturan kami. Semua pembaruan akan diterbitkan pada halaman ini, dan tanggal revisi terakhir akan diperbarui sesuai kebutuhan. Kami menyarankan Anda meninjau halaman ini secara berkala agar tetap mengetahui versi terkini prinsip kepatuhan GDPR kami.

Informasi Kontak

Jika Anda memiliki pertanyaan, komentar, atau permintaan terkait perlindungan data pribadi atau cara kami memproses informasi Anda, silakan hubungi kami. Kami selalu siap membantu Anda dan menghargai masukan Anda.

• Perusahaan: Eesti Firma OÜ
• Kode Pendaftaran: 14164797
• Nomor PPN (KMKR): EE102081480
• Izin Kegiatan (TCSP): FIU000144
• Petugas Perlindungan Data (DPO): Ilja Nikiforov
• Email: [email protected]
• Telepon: +372 641 7777
• Alamat: Vesivärava 50-301, 10152 Tallinn, Estonia

Kami berupaya merespons semua pertanyaan secara cepat dan menyeluruh. Jika Anda meminta informasi tentang data Anda atau pelaksanaan hak Anda, kami akan merespons dalam jangka waktu yang ditetapkan oleh GDPR (biasanya dalam satu bulan). Terima kasih telah mempercayakan perlindungan data Anda kepada Eesti Firma OÜ – kami, pada gilirannya, melakukan segala yang mungkin untuk membenarkan kepercayaan tersebut.