LAMPIRAN PENGOLAHAN DATA

Terakhir diperbarui 09 April 2026

Lampiran Pemrosesan Data ("DPA") ini melengkapi Persyaratan Layanan APIANT (Perjanjian ini) antara Apiant, Inc. ("APIANT," "kami," atau "kita") dan pelanggan ("Pelanggan," "Anda," atau "milik Anda") mengatur pemrosesan data pribadi oleh APIANT atas nama Pelanggan sehubungan dengan Layanan, termasuk data yang diproses melalui infrastruktur server MCP (Model Context Protocol) milik Pelanggan.

Perjanjian Perlindungan Data (DPA) ini berlaku sejauh APIANT memproses data pribadi atas nama Pelanggan sebagai pengolah data (atau penyedia layanan, sebagaimana berlaku berdasarkan hukum privasi negara bagian AS). Dalam hal terjadi konflik antara DPA ini dan Perjanjian, DPA ini akan berlaku sehubungan dengan pemrosesan data pribadi.

1. Definisi

"Data Pribadi" berarti setiap informasi yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi yang diproses oleh APIANT atas nama Pelanggan melalui Layanan.

"Pengolahan" berarti setiap operasi yang dilakukan pada Data Pribadi, termasuk pengumpulan, pencatatan, pengorganisasian, penyimpanan, adaptasi, pengambilan, konsultasi, penggunaan, pengungkapan, penggabungan, pembatasan, penghapusan, atau penghancuran.

"Sub-prosesor" berarti pihak ketiga mana pun yang ditunjuk oleh APIANT untuk memproses Data Pribadi atas nama Pelanggan.

"Hukum Perlindungan Data" yang dimaksud dengan semua hukum dan peraturan yang berlaku terkait privasi data dan perlindungan data, termasuk Peraturan Perlindungan Data Umum Uni Eropa (GDPR), GDPR Inggris, Undang-Undang Privasi Konsumen California (CCPA) sebagaimana diubah oleh Undang-Undang Hak Privasi California (CPRA), Undang-Undang Perlindungan Data Konsumen Virginia (VCDPA), dan hukum privasi negara bagian AS lainnya yang berlaku.

"Infrastruktur Server MCP" yang dimaksud adalah server yang kompatibel dengan MCP yang digunakan Pelanggan pada infrastruktur APIANT khusus milik Pelanggan (termasuk nama domain milik Pelanggan sendiri), di mana pengguna akhir Pelanggan dapat berinteraksi dengan Platform melalui platform AI pihak ketiga.

2. Lingkup dan Peran

2.1 Sehubungan dengan Data Pribadi yang diproses melalui Layanan, Pelanggan adalah pengendali data (atau bisnis, sebagaimana berlaku) dan APIANT adalah pengolah data (atau penyedia layanan, sebagaimana berlaku).

2.2 APIANT memproses Data Pribadi semata-mata atas nama dan sesuai dengan instruksi tertulis Pelanggan. Penggunaan Layanan oleh Pelanggan, termasuk konfigurasi otomatisasi dan data yang diproses melalui Infrastruktur Server MCP Pelanggan, merupakan instruksi tertulis untuk tujuan Perjanjian Perlindungan Data ini.

2.3 APIANT tidak akan memproses Data Pribadi untuk tujuan apa pun selain menyediakan Layanan, kecuali jika diwajibkan oleh hukum yang berlaku. Dalam hal tersebut, APIANT akan memberi tahu Pelanggan tentang persyaratan hukum tersebut sebelum melakukan pemrosesan, kecuali jika hukum melarang pemberitahuan tersebut.

3. Kategori Data yang Diproses

3.1 Layanan Platform

Saat Pelanggan menggunakan Platform secara langsung, APIANT dapat memproses kategori Data Pribadi berikut sebagaimana ditentukan oleh konfigurasi Pelanggan:

Informasi kontak (nama, alamat email, nomor telepon)
Kredensial akun dan token autentikasi
Data bisnis yang ditransmisikan antar Aplikasi Pihak Ketiga
Data lain apa pun yang dipilih Pelanggan untuk diproses melalui Platform.

3.2 Infrastruktur Server MCP

Ketika data diproses melalui Infrastruktur Server MCP Pelanggan, APIANT (sebagai penyedia platform yang mendasarinya) dapat memproses:

Kredensial otentikasi (seperti token OAuth 2.0) yang digunakan untuk memverifikasi identitas dan mengotorisasi akses ke server MCP Pelanggan.
Parameter panggilan alat: masukan terstruktur yang dikirimkan oleh Platform AI ke server MCP Pelanggan untuk mengeksekusi tindakan yang diminta
Respons panggilan alat: hasil yang dikembalikan oleh server MCP Pelanggan ke Platform AI

APIANT melakukan bukan Menerima atau memproses teks lengkap percakapan pengguna akhir dengan platform AI. Hanya data panggilan alat terstruktur yang diperlukan untuk menjalankan tindakan yang diminta yang diproses di server berbasis APIANT milik Pelanggan.

4. Retensi dan Penghapusan Data

4.1 APIANT menyimpan Data Pribadi yang diproses melalui Layanan selama jangka waktu Perjanjian, kecuali Pelanggan meminta penghapusan lebih awal.

4.2 Khusus untuk data yang diproses melalui Infrastruktur Server MCP:

Token otentikasi Data tersebut disimpan dalam memori selama sesi berlangsung dan tidak akan tersimpan setelah koneksi terputus.
Catatan panggilan alat (parameter dan respons) dapat disimpan hingga sembilan puluh (90) hari untuk keperluan debugging dan operasional, setelah itu akan dihapus secara otomatis.
Tidak ada profil pengguna dibangun dari data interaksi MCP.

4.3 Dalam waktu tiga puluh (30) hari setelah berakhirnya atau diakhirinya Perjanjian, APIANT akan menghapus atau mengembalikan semua Data Pribadi yang dimilikinya atau berada dalam kendalinya, kecuali sejauh penyimpanan diwajibkan oleh hukum yang berlaku.

4.4 Pelanggan dapat meminta penghapusan Data Pribadi kapan saja dengan menghubungi privacy@apiant.comAPIANT akan memenuhi permintaan tersebut dalam waktu tiga puluh (30) hari, dengan tetap memperhatikan kewajiban penyimpanan berdasarkan hukum.

5. Tidak Ada Pelatihan tentang Data Pelanggan

APIANT melakukan bukan Menggunakan Data Pribadi, Data Pengguna, parameter panggilan alat, respons panggilan alat, atau data Pelanggan lainnya untuk melatih model kecerdasan buatan, model pembelajaran mesin, atau sistem pengambilan keputusan otomatis dalam bentuk apa pun. Hal ini berlaku untuk semua data yang diproses melalui Platform, Infrastruktur Server MCP, dan komponen Layanan lainnya.

6. Sub-prosesor

6.1 Pelanggan memberi wewenang kepada APIANT untuk melibatkan Sub-prosesor berikut untuk membantu dalam menyediakan Layanan:

Subprosesor	Tujuan	Lokasi
Amazon Web Services (AWS)	Infrastruktur dan hosting cloud	Amerika Serikat
Keriting	Pemrosesan penagihan dan pembayaran	Amerika Serikat
Google (Google Analytics)	Analisis situs web	Amerika Serikat
HubSpot	Manajemen dan komunikasi hubungan pelanggan	Amerika Serikat
Splunk	Pemantauan dan pencatatan kinerja platform	Amerika Serikat

6.2 APIANT akan memberitahukan Pelanggan tentang setiap perubahan yang direncanakan pada Sub-prosesor dengan memperbarui DPA ini. Pelanggan dapat mengajukan keberatan terhadap Sub-prosesor baru dengan menghubungi APIANT. legal@apiant.com dalam waktu tiga puluh (30) hari sejak pemberitahuan.

6.3 APIANT akan membuat perjanjian tertulis dengan setiap Sub-prosesor yang memberlakukan kewajiban perlindungan data yang tidak kurang protektif daripada yang ditetapkan dalam DPA ini.

7. Langkah-langkah Keamanan

APIANT menerapkan dan memelihara langkah-langkah teknis dan organisasi yang tepat untuk melindungi Data Pribadi, termasuk:

Enkripsi saat transit: Semua data yang dikirim ke dan dari server APIANT, termasuk komunikasi server MCP, dienkripsi menggunakan HTTPS/TLS.
Enkripsi saat data tidak digunakan: Data pribadi yang disimpan di infrastruktur APIANT dienkripsi saat tidak digunakan dengan menggunakan enkripsi standar industri.
Kontrol akses: Akses ke Data Pribadi dibatasi hanya untuk personel yang berwenang berdasarkan prinsip kebutuhan untuk mengetahui (need-to-know basis).
Otentikasi: Platform ini memerlukan akses terautentikasi. Infrastruktur Server MCP memerlukan autentikasi OAuth 2.0 atau yang setara.
Pemantauan: APIANT memantau sistemnya untuk mendeteksi insiden keamanan dan akses tidak sah.
Respons terhadap insiden: APIANT memiliki proses respons insiden dan akan memberi tahu Pelanggan tanpa penundaan yang tidak semestinya (dan dalam hal apa pun dalam waktu 72 jam) setelah mengetahui adanya pelanggaran Data Pribadi.
Infrastruktur: Platform ini dihosting di infrastruktur Amazon Web Services (AWS), yang memiliki sertifikasi SOC 2, ISO 27001, dan sertifikasi industri lainnya.

8. Hak Subjek Data

8.1 APIANT akan membantu Pelanggan dalam memenuhi permintaan subjek data berdasarkan Hukum Perlindungan Data yang berlaku, termasuk permintaan akses, koreksi, penghapusan, pembatasan, portabilitas, dan keberatan terhadap pemrosesan.

8.2 Jika APIANT menerima permintaan langsung dari subjek data terkait Data Pribadi yang diproses atas nama Pelanggan, APIANT akan segera mengarahkan subjek data tersebut kepada Pelanggan dan memberi tahu Pelanggan tentang permintaan tersebut, kecuali dilarang oleh hukum.

8.3 APIANT akan memberikan kerja sama dan bantuan yang wajar kepada Pelanggan dalam menanggapi permintaan subjek data, dengan mempertimbangkan sifat Pemrosesan tersebut.

9. Transfer Data Internasional

9.1 Infrastruktur utama APIANT berlokasi di Amerika Serikat. Dengan menggunakan Layanan, Pelanggan mengizinkan transfer Data Pribadi ke Amerika Serikat.

9.2 Sejauh transfer Data Pribadi dari Wilayah Ekonomi Eropa (EEA), Inggris Raya, atau Swiss ke Amerika Serikat merupakan transfer yang dibatasi berdasarkan Hukum Perlindungan Data yang berlaku, transfer tersebut akan tunduk pada Klausul Kontrak Standar (SCC) yang diadopsi oleh Komisi Eropa (Modul Dua: Pengontrol ke Pengolah), yang dengan ini dimasukkan sebagai referensi.

9.3 Pelanggan dapat meminta salinan mekanisme transfer yang berlaku dengan menghubungi legal@apiant.com.

10. Kepatuhan terhadap CCPA dan Hukum Privasi Negara Bagian AS

10.1 Sejauh APIANT memproses Data Pribadi yang tunduk pada CCPA atau undang-undang privasi negara bagian AS lainnya, APIANT bertindak sebagai "penyedia layanan" (sebagaimana didefinisikan dalam CCPA) atau peran yang setara berdasarkan hukum negara bagian yang berlaku.

10.2 APIANT tidak akan menjual atau membagikan (sebagaimana didefinisikan dalam CCPA) Data Pribadi yang diterima dari Pelanggan.

10.3 APIANT tidak akan menyimpan, menggunakan, atau mengungkapkan Data Pribadi untuk tujuan apa pun selain penyediaan Layanan, termasuk tujuan komersial apa pun selain penyediaan Layanan.

10.4 APIANT tidak akan menggabungkan Data Pribadi yang diterima dari Pelanggan dengan informasi pribadi yang diterima dari sumber lain, kecuali sebagaimana diizinkan oleh hukum yang berlaku untuk menyediakan Layanan.

10.5 APIANT menyatakan bahwa mereka memahami dan akan mematuhi batasan-batasan yang tercantum dalam Bagian 10 ini.

11. Audit

11.1 APIANT akan menyediakan kepada Pelanggan, atas permintaan yang wajar dan tidak lebih dari sekali dalam jangka waktu dua belas (12) bulan, informasi yang diperlukan untuk menunjukkan kepatuhan terhadap DPA ini.

11.2 Pelanggan dapat melakukan audit atas aktivitas pemrosesan data APIANT, atau menunjuk auditor pihak ketiga yang berkualifikasi untuk melakukannya, dengan pemberitahuan tertulis tiga puluh (30) hari sebelumnya. Audit tersebut harus dilakukan selama jam kerja normal dan tidak boleh mengganggu operasional APIANT secara tidak wajar. Pelanggan akan menanggung biaya audit tersebut.

12. Jangka Waktu dan Pengakhiran

Perjanjian Perlindungan Data (DPA) ini akan tetap berlaku selama jangka waktu Perjanjian. Kewajiban APIANT berdasarkan DPA ini sehubungan dengan Data Pribadi yang dimilikinya atau yang berada dalam kendalinya akan tetap berlaku setelah pengakhiran Perjanjian hingga semua Data Pribadi telah dihapus atau dikembalikan sesuai dengan Bagian 4.

13. Kontak

Untuk pertanyaan atau permintaan terkait DPA ini, silakan hubungi:

Apiant, Inc.
196 W Ashland St, Doylestown
Doylestown, PA 18901
Amerika Serikat

E-mail: privacy@apiant.com
Legal: legal@apiant.com