Data Processing Addendum (DPA) Layarva

Tanggal Berlaku: 21 Agustus 2026
Terakhir Diperbarui: 23 Agustus 2026
Versi: 2026-08-23

Data Processing Addendum ini ("DPA") merupakan perjanjian tambahan mengenai pemrosesan Data Pribadi dan berlaku ketika Layarva memproses Data Pribadi atas nama Pelanggan dalam rangka penyediaan Layanan.

DPA ini menjadi bagian dari Terms of Service, Order Form, Enterprise Agreement, atau perjanjian lain antara Pelanggan dan Layarva yang mengacu atau memasukkan DPA ini ("Perjanjian Utama").

Layarva dioperasikan oleh CV DNA Konsultan, berkedudukan di Jl. Arabika 8 Blok AA 1 No. 9, RT.001/RW.005, Pondok Kopi, Duren Sawit, Jakarta Timur, DKI Jakarta 13460, Indonesia ("Layarva" atau "Prosesor").

Pelanggan yang menerima Perjanjian Utama atau DPA ini disebut "Pelanggan" atau "Pengendali", sepanjang Pelanggan menentukan tujuan dan melakukan kendali atas pemrosesan Data Pribadi yang diserahkan kepada Layarva.

DPA ini dimaksudkan untuk membantu para pihak memenuhi kewajiban pelindungan Data Pribadi yang berlaku, termasuk Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP").

1. Ruang Lingkup dan Prioritas

DPA ini berlaku hanya sejauh Layarva memproses Data Pribadi sebagai Prosesor berdasarkan instruksi Pelanggan.

DPA ini tidak mengubah kedudukan Layarva sebagai Pengendali untuk Data Pribadi yang tujuan pemrosesannya ditentukan Layarva sendiri, seperti data tertentu yang diperlukan untuk:

• administrasi akun Layarva;
• billing dan invoice;
• keamanan platform;
• fraud prevention;
• compliance;
• customer support tertentu; atau
• operasional Layarva sebagai penyedia layanan.

Pemrosesan Layarva sebagai Pengendali dijelaskan dalam Kebijakan Privasi Layarva.

Jika terdapat konflik mengenai pemrosesan Data Pribadi antara DPA ini dan Perjanjian Utama, DPA ini berlaku untuk aspek pemrosesan Data Pribadi sebagai Prosesor sejauh diperbolehkan hukum.

2. Definisi

Istilah "Data Pribadi", "Subjek Data Pribadi", "Pengendali Data Pribadi", dan "Prosesor Data Pribadi" memiliki arti sebagaimana ditentukan dalam hukum pelindungan Data Pribadi yang berlaku.

"Data Pelanggan" berarti data yang diserahkan, diunggah, ditransmisikan, atau dibuat tersedia oleh atau atas nama Pelanggan melalui Layanan.

"Data Pribadi Pelanggan" berarti Data Pelanggan yang merupakan Data Pribadi dan diproses Layarva sebagai Prosesor atas nama Pelanggan.

"Instruksi Terdokumentasi" berarti instruksi Pelanggan yang terdapat dalam Perjanjian Utama, konfigurasi Layanan, penggunaan fungsi Layanan, dokumentasi teknis, API request yang sah, support request yang sah, atau komunikasi tertulis/terekam lain yang disetujui para pihak.

"Subprosesor" berarti Prosesor Data Pribadi lain yang dilibatkan Layarva untuk memproses Data Pribadi Pelanggan dalam rangka penyediaan Layanan.

"Insiden Data" berarti kegagalan pelindungan Data Pribadi yang menyebabkan atau berpotensi menyebabkan perusakan, kehilangan, perubahan, pengungkapan, atau akses yang tidak sah terhadap Data Pribadi Pelanggan.

3. Peran Para Pihak

3.1 Pelanggan sebagai Pengendali

Sepanjang Pelanggan menentukan tujuan dan kendali pemrosesan, Pelanggan bertindak sebagai Pengendali.

Pelanggan bertanggung jawab untuk:

• menentukan tujuan pemrosesan;
• memastikan terdapat dasar pemrosesan yang sah;
• memberikan privacy notice yang diperlukan;
• memperoleh persetujuan apabila diwajibkan;
• menentukan siapa yang boleh mengakses data;
• memastikan instruksi kepada Layarva sah; dan
• memenuhi kewajiban Pengendali berdasarkan hukum.

3.2 Layarva sebagai Prosesor

Sepanjang Layarva memproses Data Pribadi Pelanggan hanya untuk menyediakan Layanan sesuai instruksi Pelanggan, Layarva bertindak sebagai Prosesor.

Layarva akan memproses Data Pribadi Pelanggan berdasarkan Instruksi Terdokumentasi Pelanggan dan sesuai hukum yang berlaku.

3.3 Pemrosesan di Luar Instruksi

Jika Layarva diwajibkan hukum untuk melakukan pemrosesan di luar instruksi Pelanggan, Layarva akan, sejauh diperbolehkan hukum, memberi tahu Pelanggan mengenai kewajiban tersebut.

Layarva tidak akan menggunakan Data Pribadi Pelanggan untuk tujuan yang tidak berkaitan dengan penyediaan Layanan atas nama Pelanggan kecuali terdapat dasar hukum dan peran pemrosesan yang sesuai.

4. Instruksi Pemrosesan

Dengan menggunakan Layanan, Pelanggan menginstruksikan Layarva untuk melakukan pemrosesan yang secara wajar diperlukan untuk:

• menerima dan menyimpan Data Pelanggan;
• menyediakan Studio dan content management;
• rendering, transcoding, caching, dan content distribution;
• playlist dan scheduling;
• Screen dan device management;
• device pairing dan synchronization;
• Queue Management;
• Public API;
• integrasi yang diaktifkan Pelanggan;
• troubleshooting dan support;
• backup dan disaster recovery;
• keamanan dan abuse prevention; dan
• fungsi lain yang secara eksplisit digunakan Pelanggan.

Jika Layarva secara wajar menilai suatu Instruksi melanggar hukum pelindungan Data Pribadi, Layarva dapat menunda pelaksanaannya dan memberi tahu Pelanggan sejauh diperbolehkan hukum.

5. Kewajiban Pelanggan

Pelanggan menjamin bahwa:

1. Pelanggan berhak menyerahkan Data Pribadi Pelanggan kepada Layarva;
2. pemrosesan yang diinstruksikan memiliki dasar yang sah;
3. pemberitahuan yang diperlukan kepada Subjek Data telah diberikan;
4. persetujuan telah diperoleh jika diwajibkan;
5. data yang diserahkan relevan dengan tujuan;
6. Pelanggan tidak menginstruksikan pemrosesan yang melanggar hukum; dan
7. credential, role, permission, serta konfigurasi yang berada di bawah kendali Pelanggan dikelola secara aman.

Pelanggan bertanggung jawab menentukan apakah fitur atau konfigurasi Layarva sesuai dengan kebutuhan hukum, industri, dan internal Pelanggan.

6. Jenis Data dan Kategori Subjek Data

Rincian umum pemrosesan terdapat dalam Lampiran 1 — Rincian Pemrosesan.

Data dapat mencakup, tergantung cara Pelanggan menggunakan Layanan:

• data user/anggota organisasi;
• customer-provided operational data;
• Queue Management data;
• content metadata;
• API payload;
• user-provided Screen location, termasuk latitude dan longitude yang dimasukkan Pengguna;
• device-related data yang dapat dikaitkan dengan individu jika relevan; dan
• Data Pribadi lain yang secara sah dimasukkan Pelanggan.

Layarva tidak meminta Pelanggan memasukkan Data Pribadi spesifik/sensitif secara default kecuali fitur, dokumentasi, atau perjanjian khusus secara jelas mendukung penggunaan tersebut.

Pelanggan harus menghindari memasukkan Data Pribadi yang tidak diperlukan.

7. Kerahasiaan

Layarva akan memastikan bahwa personel yang diberi akses terhadap Data Pribadi Pelanggan:

• memiliki kebutuhan akses yang sah;
• tunduk pada kewajiban kerahasiaan yang sesuai; dan
• hanya memproses data sesuai tanggung jawab yang diberikan.

Layarva akan membatasi akses administratif berdasarkan prinsip least privilege sejauh sesuai dengan arsitektur dan kebutuhan operasional.

8. Keamanan

Layarva akan menerapkan langkah teknis dan organisasi yang sesuai dengan sifat, konteks, ruang lingkup, dan risiko pemrosesan.

Langkah dapat mencakup:

• authentication;
• authorization;
• role-based access control;
• credential protection;
• encryption untuk konteks transmisi atau penyimpanan yang sesuai;
• network security;
• logging;
• monitoring;
• backup;
• vulnerability management;
• access restriction;
• incident response; dan
• business continuity.

Ringkasan langkah keamanan terdapat dalam Lampiran 2 — Langkah Teknis dan Organisasi.

9. Subprosesor

9.1 Penggunaan Subprosesor

Layarva dapat melibatkan Subprosesor untuk membantu menyediakan Layanan, termasuk provider untuk:

• cloud hosting;
• database;
• object storage;
• Content Delivery Network;
• authentication;
• email;
• payment-related infrastructure;
• monitoring;
• logging;
• customer support;
• backup; atau
• layanan teknis lain.

9.2 Persetujuan Pelanggan

Layarva akan memperoleh persetujuan tertulis atau bentuk persetujuan terekam lain yang diakui secara hukum dari Pelanggan sebelum melibatkan Subprosesor sejauh diwajibkan hukum.

Penerimaan DPA ini dapat menjadi persetujuan atas Subprosesor yang secara jelas tercantum pada daftar Subprosesor ketika DPA diterima, sepanjang mekanisme tersebut memenuhi hukum yang berlaku.

Untuk penambahan atau penggantian Subprosesor, Layarva akan menggunakan mekanisme pemberitahuan dan persetujuan yang sesuai dengan hukum dan Perjanjian Utama.

9.3 Kewajiban Subprosesor

Layarva akan mewajibkan Subprosesor memberikan perlindungan yang sesuai terhadap Data Pribadi yang diproses.

9.4 Daftar Subprosesor

Daftar Subprosesor dapat tersedia pada:

https://layarva.com/legal/subprocessors

atau dalam Lampiran 3.

10. Lokasi Infrastruktur dan Transfer Lintas Negara

Layarva menggunakan arsitektur cloud dan infrastruktur yang dapat berada di Indonesia maupun negara atau wilayah lain.

Lokasi server, region, storage, backup, CDN, dan Subprosesor dapat berubah berdasarkan availability, security, reliability, performance, scalability, disaster recovery, atau kebutuhan teknis lainnya.

Kecuali disepakati tertulis, Layarva tidak menjamin bahwa Data Pribadi Pelanggan selalu diproses pada satu lokasi geografis tertentu.

Untuk transfer Data Pribadi lintas negara, para pihak akan memenuhi mekanisme pelindungan yang diwajibkan hukum, termasuk ketentuan mengenai tingkat perlindungan, perlindungan yang memadai dan mengikat, atau dasar transfer lain yang sah.

Layarva akan memberikan informasi yang secara wajar diperlukan Pelanggan untuk melakukan penilaian transfer yang menjadi tanggung jawab Pelanggan sebagai Pengendali.

11. Permintaan Hak Subjek Data

Jika Layarva menerima permintaan langsung dari Subjek Data yang secara jelas berkaitan dengan Data Pribadi yang dikendalikan Pelanggan, Layarva dapat mengarahkan pemohon kepada Pelanggan atau memberitahukan Pelanggan, kecuali hukum menentukan lain.

Dengan mempertimbangkan sifat pemrosesan dan fungsi yang tersedia, Layarva akan memberikan bantuan yang wajar agar Pelanggan dapat menanggapi permintaan seperti:

• akses;
• koreksi;
• pembaruan;
• penghapusan;
• pembatasan;
• penghentian pemrosesan;
• portabilitas apabila berlaku; atau
• hak lain yang diberikan hukum.

Pelanggan tetap bertanggung jawab menentukan validitas permintaan dan memberikan respons sebagai Pengendali.

12. Penilaian Dampak dan Konsultasi Regulator

Jika pemrosesan Pelanggan memerlukan Data Protection Impact Assessment atau penilaian serupa, Layarva akan memberikan informasi yang secara wajar tersedia mengenai pemrosesan Layarva.

Jika konsultasi regulator diwajibkan, Layarva akan memberikan bantuan yang wajar terkait bagian pemrosesan yang dilakukan Layarva.

Permintaan yang membutuhkan pekerjaan material di luar dukungan standar dapat tunduk pada kesepakatan komersial terpisah jika diperbolehkan hukum.

13. Insiden Data dan Pemberitahuan

Layarva akan:

1. melakukan tindakan yang wajar untuk mendeteksi, menangani, dan memitigasi Insiden Data;
2. memberitahukan Pelanggan tanpa penundaan yang tidak semestinya setelah mengetahui Insiden Data yang mempengaruhi Data Pribadi Pelanggan;
3. sejauh tersedia, memberikan informasi mengenai sifat Insiden, data yang terpengaruh, dampak yang mungkin terjadi, dan tindakan mitigasi; dan
4. memberikan bantuan yang wajar agar Pelanggan dapat memenuhi kewajiban pemberitahuan yang berlaku.

Pelanggan mengakui bahwa sebagai Pengendali, Pelanggan dapat memiliki kewajiban pemberitahuan kepada Subjek Data dan/atau otoritas dalam jangka waktu yang ditentukan hukum.

Pemberitahuan Insiden oleh Layarva tidak dengan sendirinya merupakan pengakuan kesalahan atau tanggung jawab hukum.

14. Audit dan Informasi Kepatuhan

Layarva akan menyediakan informasi yang secara wajar diperlukan untuk menunjukkan kepatuhan terhadap kewajiban Prosesor berdasarkan DPA.

Jika Pelanggan secara wajar memerlukan audit:

• audit harus terkait Data Pribadi Pelanggan;
• ruang lingkup harus proporsional;
• audit tidak boleh mengganggu keamanan atau kerahasiaan pelanggan lain;
• auditor harus tunduk pada kerahasiaan;
• audit onsite, jika diperlukan, dilakukan pada waktu yang disepakati; dan
• Layarva dapat terlebih dahulu menyediakan laporan, questionnaire, certification, atau evidence lain jika cukup.

Audit yang berlebihan, berulang, atau memerlukan pekerjaan material dapat tunduk pada biaya wajar jika diperbolehkan hukum dan disepakati.

DPA ini tidak mewajibkan Layarva mengungkap:

• rahasia dagang yang tidak relevan;
• data pelanggan lain;
• source code;
• credential;
• informasi yang dapat mengurangi keamanan sistem; atau
• informasi yang dilarang hukum.

15. Retensi Setelah Subscription Berakhir

Jika Subscription berbayar berakhir dan tidak diperpanjang, Data Operasional dan Konten Pelanggan dapat dipertahankan selama maksimum 180 hari sejak tanggal Subscription berakhir, sesuai Terms of Service dan Kebijakan Privasi Layarva, untuk tujuan seperti:

• reaktivasi;
• recovery;
• penyimpanan terbatas;
• keamanan; atau
• penyelesaian lifecycle akun.

Login selama periode tersebut tidak me-reset periode 180 hari.

Selama periode retensi pasca-subscription, Layarva dapat membatasi pemrosesan terutama pada penyimpanan, keamanan, recovery, compliance, dan fungsi yang diperlukan untuk lifecycle akun.

Pelanggan dapat meminta penghapusan lebih awal sejauh permintaan tersebut sah, dapat dilakukan secara teknis, dan tidak bertentangan dengan kewajiban hukum.

16. Pengembalian dan Penghapusan Data

Pada berakhirnya hubungan pemrosesan, Layarva akan, sesuai Instruksi Pelanggan dan hukum:

• menghapus;
• menganonimkan; dan/atau
• memungkinkan return atau export data jika fungsi tersedia dan disepakati.

Setelah retention period berakhir, Data Pribadi Pelanggan pada sistem produksi dapat dihapus atau dianonimkan.

Data dapat tetap berada sementara dalam backup sampai siklus backup normal berakhir.

Backup:

• digunakan untuk disaster recovery dan continuity;
• tidak dimaksudkan sebagai storage operasional setelah account deletion;
• tidak dimaksudkan sebagai arsip historical log yang telah melewati retention lifecycle normal; dan
• mengikuti lifecycle backup yang berlaku.

Log Teknis dan Evidence Export

Log teknis dan operasional yang digunakan Layarva mengikuti periode retensi standar yang dijelaskan dalam Kebijakan Privasi Layarva dan dapat dihapus sebagai bagian dari lifecycle normal sistem.

Jika Layarva menerima atau mengetahui adanya Insiden Data, investigasi, audit, sengketa, klaim, atau permintaan hukum yang sah ketika log yang relevan masih tersedia, personel yang berwenang dapat mengekspor record yang secara wajar diperlukan ke file terpisah.

File hasil export dapat dipertahankan secara terpisah selama maksimum 365 hari sejak tanggal export dibuat, dan dapat dihapus lebih awal apabila tidak lagi diperlukan untuk tujuan spesifik yang terkait.

Apabila hukum yang berlaku atau perintah yang sah dan mengikat secara khusus mewajibkan periode penyimpanan yang lebih lama, file hasil export dapat dipertahankan sejauh dan selama diwajibkan oleh ketentuan tersebut.

Pembuatan atau penyimpanan export tersebut tidak menghentikan, memperpanjang, atau mengubah retention lifecycle log sumber.

Apabila sebelum suatu permintaan diterima log atau data terkait telah dihapus, dianonimkan, ditimpa, atau tidak lagi tersedia melalui lifecycle normal sistem, Layarva tidak berkewajiban memulihkan, merekonstruksi, membuat kembali, atau menyediakan record yang tidak lagi berada dalam penguasaan Layarva, sejauh diperbolehkan hukum yang berlaku.

Layarva hanya dapat menyediakan record yang masih tersedia ketika permintaan diproses atau record yang sebelumnya telah diekspor dan dipertahankan secara terpisah.

Layarva tidak memiliki kewajiban untuk mempertahankan log secara khusus hanya untuk kemungkinan investigasi, sengketa, klaim, atau proses hukum di masa depan sebelum menerima permintaan, pemberitahuan, atau perintah yang sah dan cukup spesifik mengenai data tersebut.

Ketentuan ini tidak membatasi kewajiban yang secara wajib berlaku berdasarkan hukum atau perintah yang sah dan mengikat yang telah diterima Layarva.

Catatan seperti accounting, perpajakan, atau record lain yang tunduk pada kewajiban penyimpanan tersendiri dapat mengikuti periode retensi yang diwajibkan untuk catatan tersebut.

17. User-Provided Screen Location

Jika Pelanggan menggunakan fitur lokasi Screen, informasi seperti latitude, longitude, nama lokasi, alamat, atau label lokasi diberikan atau dimasukkan oleh Pengguna/Pelanggan.

Layarva tidak secara otomatis mengambil GPS location atau background location Screen hanya karena perangkat terhubung dengan Layanan.

Jika informasi lokasi tersebut merupakan Data Pribadi, pemrosesannya sebagai Data Pribadi Pelanggan tunduk pada DPA ini.

Pelanggan bertanggung jawab memastikan terdapat dasar yang sah untuk memasukkan dan menggunakan informasi lokasi tersebut.

18. Queue Management

Jika Pelanggan menggunakan Queue Management dan memasukkan Data Pribadi, Pelanggan bertindak sebagai Pengendali untuk data tersebut sejauh Pelanggan menentukan tujuan pemrosesan.

Layarva memproses data sejauh diperlukan untuk:

• ticket issuing;
• queue workflow;
• call/recall;
• operator/counter workflow;
• completion/no-show;
• display;
• printing;
• logging; atau
• fungsi Queue Management lain yang digunakan Pelanggan.

Pelanggan harus menghindari memasukkan Data Pribadi yang tidak diperlukan.

19. Public API

Data Pribadi yang dikirim Pelanggan melalui Public API diproses berdasarkan request dan konfigurasi Pelanggan.

Pelanggan bertanggung jawab:

• menjaga API key dan token;
• memastikan payload memiliki dasar pemrosesan yang sah;
• membatasi data pada yang diperlukan; dan
• memastikan sistem pengirim memiliki keamanan yang memadai.

Layarva dapat menggunakan logging, rate limiting, security monitoring, dan technical metadata processing untuk menjaga keamanan dan reliability API.

20. Permintaan Pemerintah atau Penegakan Hukum

Jika Layarva menerima permintaan yang sah dari otoritas untuk mengungkap Data Pribadi Pelanggan, Layarva akan:

• mengevaluasi permintaan sesuai hukum;
• membatasi pengungkapan pada yang diwajibkan; dan
• jika diperbolehkan hukum, memberitahukan Pelanggan.

Layarva tidak berkewajiban menolak permintaan yang secara sah mengikat Layarva.

21. Tanggung Jawab

Tanggung jawab para pihak berdasarkan DPA mengikuti pembatasan dan alokasi tanggung jawab dalam Perjanjian Utama, kecuali hukum yang berlaku secara wajib menentukan lain.

Tidak ada bagian DPA yang membatasi kewajiban atau hak yang secara hukum tidak dapat dibatasi.

22. Masa Berlaku

DPA berlaku selama Layarva memproses Data Pribadi Pelanggan sebagai Prosesor berdasarkan Perjanjian Utama.

Klausul yang menurut sifatnya harus tetap berlaku setelah penghentian, termasuk kerahasiaan, keamanan, deletion, audit terkait periode pemrosesan, dan kewajiban hukum tertentu, tetap berlaku sejauh diperlukan.

23. Perubahan DPA

Layarva dapat memperbarui DPA untuk mencerminkan perubahan hukum, produk, keamanan, atau operasional.

Perubahan material yang secara signifikan mengurangi perlindungan Data Pribadi Pelanggan tidak akan diberlakukan terhadap periode aktif tanpa mekanisme pemberitahuan atau persetujuan yang sesuai dengan Perjanjian Utama dan hukum.

24. Hukum yang Berlaku

DPA tunduk pada hukum Republik Indonesia, kecuali perjanjian tertulis tertentu secara sah menetapkan ketentuan lain.

Mekanisme penyelesaian sengketa mengikuti Perjanjian Utama sejauh tidak bertentangan dengan kewajiban pelindungan Data Pribadi.

25. Versi Bahasa

DPA dapat tersedia dalam Bahasa Indonesia dan Bahasa Inggris.

Jika terdapat perbedaan penafsiran, versi Bahasa Indonesia digunakan sebagai acuan sejauh diperbolehkan hukum.

26. Cara DPA Menjadi Mengikat

DPA dapat menjadi mengikat ketika:

• ditandatangani para pihak;
• dimasukkan atau dirujuk dalam Order Form atau Enterprise Agreement;
• diterima secara elektronik oleh Pelanggan; atau
• diterima melalui mekanisme tertulis/terekam lain yang sah.

27. Kontak Privasi

Layarva
Dioperasikan oleh: CV DNA Konsultan
Alamat: Jl. Arabika 8 Blok AA 1 No. 9, RT.001/RW.005, Pondok Kopi, Duren Sawit, Jakarta Timur, DKI Jakarta 13460, Indonesia
Email: halo@layarva.com

Lampiran 1 — Rincian Pemrosesan

A. Subjek Pemrosesan

Penyediaan platform Layarva dan fitur yang dipilih Pelanggan, termasuk digital signage, Studio, content management, device management, Queue Management, Public API, dan integrasi.

B. Durasi Pemrosesan

Selama Perjanjian Utama aktif dan retention period yang berlaku, termasuk Post-Subscription Retention Period maksimum 180 hari untuk paid subscription yang berakhir, kecuali data dihapus lebih awal atau wajib dipertahankan lebih lama berdasarkan hukum.

C. Sifat Pemrosesan

Dapat meliputi:

• pengumpulan/penerimaan;
• penyimpanan;
• pengorganisasian;
• rendering;
• transcoding;
• caching;
• synchronization;
• transmission;
• display;
• API processing;
• logging;
• backup;
• deletion; dan
• pemrosesan teknis lain yang diperlukan untuk menyediakan Layanan.

D. Tujuan

Penyediaan fungsi yang digunakan Pelanggan sesuai Perjanjian Utama dan Instruksi Pelanggan.

E. Kategori Subjek Data

Tergantung penggunaan Pelanggan:

• karyawan;
• administrator;
• operator;
• kontraktor;
• customer atau visitor Pelanggan;
• pengguna layanan organisasi Pelanggan;
• pihak yang datanya dimasukkan ke Queue Management; dan
• individu lain yang datanya secara sah dimasukkan Pelanggan.

F. Kategori Data Pribadi

Dapat meliputi:

• nama;
• email;
• role;
• identifiers;
• operational metadata;
• customer-provided content metadata;
• Queue Management data;
• API payload;
• user-provided Screen location;
• device/technical data yang dapat dikaitkan dengan individu;
• support-related data; dan
• data lain yang Pelanggan masukkan secara sah.

G. Data Pribadi Spesifik/Sensitif

Tidak dimaksudkan untuk diproses secara default kecuali fungsi atau perjanjian khusus secara eksplisit mendukungnya.

Pelanggan harus terlebih dahulu memastikan legal basis, necessity, safeguards, dan kesesuaian penggunaan sebelum memasukkan Data Pribadi berisiko tinggi atau yang memerlukan perlindungan khusus.

Lampiran 2 — Langkah Teknis dan Organisasi

Layarva dapat menerapkan kombinasi langkah berikut sesuai kebutuhan dan kematangan sistem:

Access Control

• role-based access;
• least privilege;
• administrative access restriction;
• session control;
• credential management.

Authentication

• secure authentication;
• token/session management;
• optional atau applicable multi-factor authentication;
• credential revocation.

Data Transmission

• encrypted transport menggunakan secure protocol yang sesuai.

Storage and Infrastructure

• managed cloud infrastructure;
• access-controlled database/storage;
• environment separation jika sesuai;
• backup dan recovery mechanism.

Logging and Monitoring

• security logging;
• API logging;
• device/activity logs;
• error monitoring;
• suspicious activity detection jika diimplementasikan.

Application Security

• secure development practices;
• dependency dan vulnerability management;
• authorization controls;
• input validation;
• rate limiting jika sesuai.

Operational Security

• incident response;
• access review;
• controlled support access;
• change management;
• business continuity dan disaster recovery planning.

Langkah aktual dapat berkembang sepanjang tidak secara material mengurangi tingkat perlindungan yang diwajibkan hukum dan Perjanjian.

Lampiran 3 — Daftar Subprosesor

Monitoring/Logging: Tidak ada Subprosesor terpisah saat monitoring/logging hanya menggunakan Vercel native logging dan log tambahan disimpan di Supabase.

Catatan: Lokasi di atas harus diverifikasi terhadap konfigurasi production sebelum halaman Subprocessor List dipublikasikan. Daftar publik yang selalu diperbarui dapat disediakan di https://layarva.com/legal/subprocessors.