Liqaa — Data Processing Agreement (DPA) v1

Status: Draft v1 · 2026-06-10 Owner: developer@kinetikum.co.id Legal review needed: Yes — Starfindo lawyer (UU PDP No. 27/2022 expert) Reference frameworks: UU PDP No. 27/2022 (Indonesia), GDPR Article 28 (Eropa, untuk customer multinasional)

⚠️ INTERNAL DRAFT — DPA wajib mengacu pada UU PDP yang baru diimplementasi. Lawyer harus validate alignment dengan regulasi turunan (Peraturan Pemerintah yang akan terbit).

Pasal 1 — Peran Para Pihak

1.1 Pelanggan adalah Pengendali Data Pribadi (Data Controller) atas data visitor yang berinteraksi melalui widget Liqaa pada situs Pelanggan.

1.2 Liqaa adalah Pemroses Data Pribadi (Data Processor) yang memproses data atas nama Pelanggan, sesuai instruksi tertulis Pelanggan dan ketentuan Perjanjian Utama (MSA).

1.3 Subjek Data adalah individu yang datanya diproses, mencakup:

• Visitor situs Pelanggan yang berinteraksi dengan widget
• User member Pelanggan di panel member.liqaa.id

Pasal 2 — Subject Matter of Processing

2.1 Tujuan pemrosesan:

• Menyediakan layanan customer messaging (live chat + AI auto-reply)
• Menyimpan basis pengetahuan dan konfigurasi tenant
• Mengirim notifikasi terkait Layanan
• Membantu Pelanggan menanggapi visitor

2.2 Durasi pemrosesan: Selama Pelanggan berlangganan + 90 hari setelah terminasi untuk retensi backup.

2.3 Sifat pemrosesan: Otomatis (sistem AI + database) dan manual (saat Pelanggan/agen mereka mengakses panel).

Pasal 3 — Jenis Data Pribadi yang Diproses

3.1 Data Visitor:

• Identifier teknis: IP address, user agent, cookie ID, session ID
• Konten percakapan: pesan teks, file upload, screenshot (jika visitor share)
• Identitas (jika di-submit): nama, email, telepon, perusahaan
• Konteks: URL halaman, referrer, lokasi geografis approximate (berdasarkan IP)

3.2 Data User Member Pelanggan:

• Identifier akun: email, nama, foto profil
• Identifier teknis: IP saat login, session token
• Audit log: aksi yang dilakukan di panel

3.3 Bukan data sensitif by default. Pelanggan dilarang sengaja memprovokasi visitor share data kategori sensitif (kesehatan, kebiasaan seksual, keyakinan agama, data genetik, data biometrik, anak < 14 tahun tanpa persetujuan orangtua) tanpa basis hukum dan privacy notice tambahan.

Pasal 4 — Sub-Processors

4.1 Sub-processor yang Liqaa gunakan saat ini:

4.2 Liqaa akan memberi notice ≥ 30 hari sebelum menambah sub-processor baru. Pelanggan dapat menolak dengan terminasi tanpa penalti.

4.3 Liqaa bertanggung jawab atas tindakan sub-processor sebagaimana atas tindakannya sendiri.

Pasal 5 — Kewajiban Liqaa sebagai Pemroses

5.1 Confidentiality: Personnel Liqaa yang memiliki akses ke Data Pelanggan terikat NDA dan diberi training privacy minimal sekali per tahun.

5.2 Security measures: Liqaa menerapkan langkah teknis dan organisasional yang wajar:

• Encryption at rest: Database PostgreSQL dengan disk encryption
• Encryption in transit: TLS 1.3 untuk semua koneksi customer-facing
• Access control: Role-based access, least-privilege, MFA untuk admin
• Audit logging: Semua akses ke Data Pelanggan ter-log dengan retention 1 tahun
• Backup: Daily encrypted backup, retention 30 hari, restore drill quarterly
• Vulnerability management: Patching kritis < 7 hari, scan quarterly
• Incident response: Runbook + escalation matrix terdefinisi

5.3 Sub-processor obligation: Sub-processor wajib komitmen perlindungan data setidaknya setara DPA ini.

5.4 Cooperation: Liqaa akan kooperatif memberikan informasi yang wajar untuk Pelanggan demonstrate compliance UU PDP.

Pasal 6 — Hak Subjek Data

6.1 Pelanggan adalah Pihak yang bertanggung jawab langsung menanggapi permintaan hak subjek data (akses, koreksi, hapus, portabilitas, opt-out).

6.2 Liqaa akan membantu Pelanggan menanggapi permintaan tersebut:

6.3 Pelanggan menanggung biaya jika permintaan subjek data memerlukan engineering work khusus di luar standar SLA di atas.

Pasal 7 — Pelanggaran Data (Breach Notification)

7.1 Definisi pelanggaran data:

• Unauthorized access ke Data Pelanggan
• Loss of confidentiality, integrity, atau availability
• Termasuk: bocor karena bug, akses internal tanpa otoritas, pencurian device admin

7.2 Liqaa wajib memberi notice kepada Pelanggan dalam 72 jam sejak Liqaa mengetahui pelanggaran data, sesuai Pasal 46 UU PDP.

7.3 Isi notice minimum:

• Sifat pelanggaran (apa yang terjadi)
• Kategori dan jumlah Subjek Data yang terpengaruh
• Kategori dan jumlah Data Pribadi yang terpengaruh
• Kemungkinan konsekuensi
• Langkah mitigasi yang telah/akan diambil
• Kontak DPO Liqaa

7.4 Pelanggan bertanggung jawab notifikasi ke Lembaga Pelindungan Data Pribadi (LPDP) dan Subjek Data, dengan support Liqaa.

Pasal 8 — Transfer Lintas Batas (Cross-Border Transfer)

8.1 Liqaa berkomitmen menyimpan data primary di Indonesia.

8.2 Transfer ke luar Indonesia terjadi pada use case berikut:

• AWS SES (USA) — metadata email transaksional (sender, recipient, timestamp) — content asli tidak dikirim
• Anthropic (USA) — payload teks anonimisasi untuk AI generation (hanya untuk Pelanggan Premium yang opt-in)

8.3 Untuk transfer di atas, Liqaa menerapkan:

• Standard Contractual Clauses (SCC) atau equivalent
• Encryption in transit (TLS 1.3)
• Data minimization (kirim hanya yang diperlukan)
• Disclosure di privacy policy yang harus Pelanggan share ke visitor mereka

8.4 Jika UU PDP regulator membatasi lebih lanjut transfer lintas batas, Liqaa akan menyesuaikan dalam 90 hari.

Pasal 9 — Data Protection Officer (DPO)

9.1 DPO Liqaa:

• Email: dpo@liqaa.id (di-route ke developer@kinetikum.co.id sampai DPO terdedikasi diangkat)
• Tanggung jawab: contact point untuk Pelanggan, regulator, dan Subjek Data terkait privacy

9.2 Pelanggan menunjuk DPO/contact person mereka di Order Form.

Pasal 10 — Termination & Data Return

10.1 Saat terminasi MSA:

• Pelanggan dapat export Data Pelanggan dalam 30 hari pertama setelah terminasi via panel
• Liqaa akan menghapus Data Pelanggan dari produksi dalam 90 hari (kecuali wajib disimpan secara hukum, misalnya bukti pajak)
• Backup yang mengandung Data Pelanggan akan otomatis expired sesuai retention policy 30 hari

10.2 Permanent deletion certificate: Atas permintaan Pelanggan, Liqaa akan menerbitkan certificate of deletion menandakan data telah dihapus.

Pasal 11 — Audit Rights

11.1 Pelanggan berhak melakukan audit compliance Liqaa terhadap DPA:

• Maksimum 1× per tahun
• Notice ≥ 30 hari
• Selama jam kerja
• Pelanggan menanggung biaya, kecuali audit menemukan material non-compliance
• Auditor harus terikat NDA

11.2 Untuk Pelanggan tier Pro/Bisnis, Liqaa menyediakan SOC 2 Type II report (target Q4 2027) sebagai pengganti audit langsung.

Lampiran A — Technical & Organizational Measures (TOM)

Akses Logical

• Multi-factor authentication untuk semua admin Liqaa
• Role-based access control (RBAC) untuk panel staff
• Akses customer panel via single sign-on (SSO) kalau di-enable

Encryption

• Data at rest: PostgreSQL disk encryption (LUKS/dm-crypt)
• Data in transit: TLS 1.3 minimum, HSTS, certificate pinning untuk mobile SDK
• API key & token: hashed (bcrypt) at rest

Backup & Recovery

• Daily full backup ke S3-compatible storage di Indonesia
• Encrypted with AES-256 (key separate dari data)
• Retention 30 hari (production), 1 tahun (backup audit)
• RTO target: < 4 jam (Pro/Bisnis), < 1 jam (Enterprise)
• RPO target: < 24 jam

Network Security

• Cloudflare WAF + DDoS protection
• Internal services tidak expose port publik (Coolify managed)
• Rate limiting per IP + per tenant
• VPN untuk maintenance access

Monitoring & Incident

• Centralized logging (audit + access)
• Real-time alerting via Slack/Telegram untuk security event
• Incident response runbook + escalation matrix
• Penetration test annual (target dari Q1 2027)

Personnel

• Background check basic untuk engineer (target)
• Privacy training annual
• Off-boarding: revoke access dalam 24 jam
• Code of conduct + confidentiality agreement

Vendor

• Sub-processor list publik di liqaa.id/legal/subprocessors
• DPA dengan tiap sub-processor (atau equivalent)
• Annual review of sub-processor security posture

Catatan untuk Pak Budi review

1. DPO — sekarang routed ke developer@kinetikum.co.id. Saat skala besar (>5000 customer), perlu DPO dedicated full-time (UU PDP Pasal 51 mengamanatkan DPO untuk "pemroses skala besar")
2. SOC 2 — target Q4 2027 sangat ambisius. Bisa di-deprioritize sampai customer enterprise mendesak
3. Anthropic / OpenAI — kalau Pak Budi rencana pakai Anthropic Claude untuk Liqaa Premium AI, perlu DPA dengan Anthropic. They have standard DPA, just sign and file.
4. Pen-test annual — biaya Rp 30-80jt/tahun via ITSEC/Indonesia firms. Wajib untuk Bisnis+/Enterprise selling
5. Data deletion certificate — perlu format & process. Saya bisa bangun endpoint + PDF generator untuk ini di sprint berikutnya
6. Indonesia-specific: Setelah PP turunan UU PDP terbit (target 2027), kemungkinan perlu re-draft DPA ini