Perjanjian Pemrosesan Data
Ringkasan ketentuan baku perjanjian pemrosesan data antara fasyankes sebagai pengendali dan PT Vektor Inovasi Sistem Indonesia sebagai prosesor. Naskah lengkap dilampirkan pada perjanjian layanan.
1. Kedudukan para pihak
Rumah sakit atau fasilitas kesehatan (fasyankes) yang menggunakan SatuRS berkedudukan sebagai pengendali data pribadi. PT Vektor Inovasi Sistem Indonesia, melalui sistem SatuRS, berkedudukan sebagai prosesor yang memproses data pribadi semata-mata atas instruksi fasyankes dan berdasarkan perjanjian pemrosesan data (DPA). Rekam medis induk tetap menjadi milik dan tanggung jawab fasyankes sesuai PMK No. 24/2022.
2. Ruang lingkup pemrosesan
| Unsur | Ketentuan |
|---|---|
| Tujuan | Meneruskan data kunjungan dari SIMRS fasyankes ke BPJS Kesehatan dan SatuSehat Kemenkes, serta melaporkan status pengiriman |
| Jangka waktu | Selama perjanjian layanan berlaku, ditambah masa retensi yang disepakati |
| Subjek data | Pasien fasyankes, tenaga kesehatan fasyankes, dan staf pengguna portal |
| Jenis data | Data pribadi umum dan data pribadi spesifik (data kesehatan) sebagaimana dirinci pada Kebijakan Privasi |
| Instruksi | Pemrosesan dilakukan semata-mata atas instruksi terdokumentasi dari pengendali |
3. Kewajiban prosesor
- Memproses data pribadi hanya sesuai instruksi pengendali, dan memberitahukan apabila suatu instruksi dinilai bertentangan dengan peraturan perundang-undangan.
- Menerapkan langkah teknis dan organisasi yang memadai, sebagaimana dirinci pada Kebijakan Privasi bagian 5.
- Mewajibkan kerahasiaan bagi setiap personel yang memiliki akses terhadap data pribadi.
- Tidak menunjuk sub-prosesor baru tanpa pemberitahuan terlebih dahulu kepada pengendali.
- Membantu pengendali memenuhi permintaan subjek data serta kewajiban penilaian dampak dan pemberitahuan insiden.
- Menghapus atau mengembalikan data pribadi pada berakhirnya perjanjian, sesuai pilihan pengendali.
- Menyediakan informasi yang diperlukan untuk membuktikan kepatuhan, termasuk akses terhadap audit log atas permintaan yang wajar.
4. Sub-prosesor dan lokasi
Seluruh pemrosesan dan penyimpanan dilakukan pada infrastruktur pusat data di wilayah Indonesia. Tidak ada transfer data pribadi ke luar wilayah Indonesia, dan tidak ada sub-prosesor yang memproses atau menyimpan data permintaan di luar Indonesia.
Penyedia layanan nama domain dan DNS tidak memproses maupun menyimpan data pribadi, sehingga tidak berkedudukan sebagai sub-prosesor.
5. Insiden
Prosesor memberitahukan pengendali tanpa penundaan yang tidak wajar setelah mengetahui adanya kegagalan pelindungan data pribadi, sehingga pengendali dapat memenuhi kewajiban pemberitahuan 3x24 jam menurut UU No. 27/2022. Pemberitahuan memuat sifat insiden, kategori dan perkiraan jumlah data terdampak, langkah penanganan, dan kontak yang dapat dihubungi.
6. Memperoleh naskah lengkap
Naskah lengkap perjanjian pemrosesan data dilampirkan pada perjanjian layanan dan dapat diminta lebih dahulu oleh tim hukum fasyankes untuk ditelaah, melalui alamat surel pada bagian bawah situs ini.