Latar Belakang
Addendum Pemrosesan Data ("DPA") ini merupakan bagian dari dan terikat dengan Syarat dan Ketentuan Javara ("Perjanjian Utama") antara:
Merchant (sebagaimana didefinisikan dalam Perjanjian Utama) selaku Pengendali Data (Data Controller); dan
PT Javara Artificial Int, yang mengoperasikan Platform di javara.ai, selaku Pemroses Data (Data Processor).
DPA ini mengatur pemrosesan Data Pribadi Anggota Loyalty (end-customer F&B) oleh Javara atas instruksi Merchant, sesuai dengan:
- UU Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), khususnya Pasal 41 dan ketentuan terkait kewajiban Pemroses Data; dan
- Regulasi (EU) 2016/679 (GDPR), khususnya Pasal 28, sebagai standar referensi internasional untuk praktik pemrosesan data yang bertanggung jawab.
Dalam hal terjadi pertentangan antara ketentuan DPA ini dengan Perjanjian Utama terkait pemrosesan Data Pribadi, ketentuan DPA ini yang berlaku.
1. Latar Belakang & Definisi
Selain definisi dalam Perjanjian Utama, dalam DPA ini berlaku pula definisi berikut:
- "Pengendali Data" berarti Merchant selaku pihak yang menentukan tujuan dan cara pemrosesan Data Pribadi Anggota Loyalty.
- "Pemroses Data" berarti Javara selaku pihak yang memproses Data Pribadi atas instruksi Pengendali Data.
- "Sub-Prosesor" berarti pihak ketiga yang ditunjuk oleh Javara untuk membantu pemrosesan Data Pribadi.
- "Instruksi" berarti petunjuk yang diberikan Merchant kepada Javara mengenai cara pemrosesan Data Pribadi, yang dapat diberikan melalui konfigurasi Platform atau secara tertulis.
- "Insiden Keamanan" berarti pelanggaran keamanan yang mengakibatkan penghancuran, kehilangan, pengubahan, pengungkapan tidak sah, atau akses tidak sah terhadap Data Pribadi secara tidak sengaja atau melanggar hukum.
- "Mekanisme Transfer" berarti mekanisme yang sah untuk mentransfer Data Pribadi ke luar Indonesia, termasuk perjanjian transfer data yang memadai, klausul kontrak standar, atau dasar hukum lainnya yang diakui oleh UU PDP.
- "Hak Subjek Data" berarti hak-hak individu atas Data Pribadi mereka sebagaimana diatur dalam UU PDP Pasal 5–16 dan GDPR Pasal 15–22.
2. Pokok & Durasi Pemrosesan
Pokok Pemrosesan: Javara memproses Data Pribadi Anggota Loyalty atas nama Merchant untuk keperluan pengoperasian program loyalty, analitik pertumbuhan berbasis AI, dan fungsi terkait lainnya sebagaimana tersedia di Platform.
Durasi: Pemrosesan berlangsung selama Subscription Merchant aktif. Setelah berakhirnya atau pembatalan Subscription, Javara akan mempertahankan Data Pribadi selama 1 (satu) tahun sebelum melakukan penghapusan permanen (dieksekusi melalui proses penghapusan berkala), kecuali Merchant meminta penghapusan lebih awal atau hukum mewajibkan retensi lebih lama.
3. Sifat & Tujuan Pemrosesan
Javara memproses Data Pribadi Anggota Loyalty untuk tujuan-tujuan berikut, sebagaimana diarahkan oleh Merchant:
| Tujuan | Deskripsi |
|---|---|
| Manajemen Loyalty | Pencatatan keanggotaan, akumulasi poin, redemption reward |
| Komunikasi Loyalty | Pengiriman notifikasi transaksi, pengingat reward, pesan kampanye via WhatsApp/email |
| Analitik | Pembuatan laporan pertumbuhan berbasis AI untuk Merchant (data diagregasi/dianonimkan untuk insight) |
| Rekap Transaksi | Pencatatan riwayat pembelian terkait program loyalty |
| Segmentasi Pelanggan | Pengelompokan Anggota Loyalty berdasarkan perilaku pembelian untuk keperluan kampanye Merchant |
Javara tidak memproses Data Pribadi Anggota Loyalty untuk kepentingannya sendiri di luar tujuan yang ditetapkan di atas, kecuali menggunakan data yang benar-benar dianonimkan dan diagregasi untuk peningkatan model AI platform secara umum.
4. Kategori Subjek Data
Subjek data yang datanya diproses berdasarkan DPA ini adalah:
- Anggota Loyalty / End-Customer F&B: Konsumen perorangan yang secara sukarela mendaftarkan nomor handphone mereka ke program loyalty yang dioperasikan oleh Merchant melalui Platform Javara. Ini dapat mencakup konsumen dari berbagai segmen, termasuk berpotensi adanya konsumen di bawah usia 17 tahun — dalam hal ini Merchant selaku Pengendali Data bertanggung jawab penuh untuk memastikan persetujuan yang sah dari orang tua atau wali.
5. Kategori Data Pribadi
Kategori Data Pribadi yang diproses berdasarkan DPA ini:
| Kategori | Data Spesifik | Tingkat Sensitivitas |
|---|---|---|
| Identifikasi | Nomor handphone (wajib), nama (opsional) | Reguler |
| Demografis | Tanggal lahir (opsional) | Reguler |
| Transaksi | Nominal pembelian, tanggal transaksi, outlet lokasi | Reguler |
| Program Loyalty | Saldo poin, riwayat redemption, jenis reward | Reguler |
Data Pribadi yang tidak diproses berdasarkan DPA ini: data keuangan sensitif (nomor kartu, rekening bank), serta Data Pribadi yang bersifat spesifik berdasarkan UU PDP Pasal 4 ayat (2) seperti data kesehatan, data biometrik, data genetika, dan catatan kejahatan. Catatan: data anak (juga kategori spesifik Pasal 4 ayat (2)) dapat terproses apabila Merchant mendaftarkan konsumen di bawah umur — tanggung jawab persetujuan orang tua/wali diatur dalam Bagian 4.
6. Kewajiban Javara selaku Pemroses Data
Javara, selaku Pemroses Data, berkomitmen untuk:
-
Memproses Hanya Berdasarkan Instruksi: Memproses Data Pribadi Anggota Loyalty hanya berdasarkan Instruksi yang sah dari Merchant selaku Pengendali Data, kecuali diwajibkan lain oleh hukum yang berlaku. Jika hukum mewajibkan pemrosesan di luar Instruksi, Javara akan memberitahu Merchant sebelumnya kecuali dilarang oleh hukum;
-
Menjaga Kerahasiaan: Memastikan bahwa personel yang berwenang mengakses Data Pribadi terikat oleh kewajiban kerahasiaan yang sesuai;
-
Menerapkan Langkah Keamanan: Menerapkan langkah-langkah teknis dan organisasi sebagaimana dimaksud dalam Bagian 10 DPA ini;
-
Manajemen Sub-Prosesor: Tidak menunjuk sub-prosesor baru tanpa pemberitahuan kepada Merchant sebagaimana diatur dalam Bagian 7;
-
Membantu Hak Subjek Data: Membantu Merchant dalam memenuhi kewajiban terkait hak subjek data sesuai Bagian 9;
-
Notifikasi Insiden: Memberitahu Merchant sesegera mungkin, dan paling lambat 72 jam setelah mengetahui Insiden Keamanan, sesuai Bagian 11;
-
Hak Audit: Memungkinkan audit dan inspeksi oleh Merchant atau auditor yang ditunjuknya sesuai Bagian 12;
-
Penghapusan/Pengembalian Data: Setelah berakhirnya pemrosesan, menghapus atau mengembalikan Data Pribadi sesuai Bagian 13.
7. Daftar Sub-Prosesor & Hak Keberatan
Merchant dengan ini memberikan persetujuan umum kepada Javara untuk menggunakan sub-prosesor yang terdaftar di bawah ini. Javara bertanggung jawab atas kepatuhan setiap sub-prosesor terhadap kewajiban perlindungan data yang setara dengan DPA ini.
| # | Kategori Sub-Prosesor | Fungsi Terkait Data Anggota Loyalty | Lokasi Data |
|---|---|---|---|
| 1 | Infrastruktur Hosting & CDN | Hosting aplikasi web & API yang memproses request loyalty | Amerika Serikat / Global |
| 2 | Database Terkelola | Penyimpanan database utama (data Anggota Loyalty) | Singapura |
| 3 | Penyimpanan Objek | Penyimpanan file terkait kampanye, konten media, dan foto struk klaim | Global (CDN) |
| 4 | Cache & Antrian Pesan | Cache session dan antrian pesan notifikasi loyalty | Singapura |
| 5 | Monitoring Error & Performa | Tracking error yang mungkin mencakup metadata request | Amerika Serikat |
| 6 | Monitoring Uptime & Log | Log monitoring (berpotensi mencakup metadata request) | Global |
| 7 | Analitik Produk | Analitik penggunaan Platform (anonim, tanpa PII Anggota Loyalty langsung) | EU / Amerika Serikat |
| 8 | Pengiriman Email | Email transaksional terkait loyalty | Global |
| 9 | WhatsApp Business API (BSP) | Pengiriman pesan WhatsApp (OTP & notifikasi) kepada Anggota Loyalty | Jerman / Global |
| 10 | Penyedia Layanan AI/LLM | Pemrosesan AI untuk analitik & rekomendasi (data dianonimkan sebelum dikirim) | Amerika Serikat / Global |
| 11 | Payment Gateway | Pemrosesan pembayaran Merchant (tidak langsung menyentuh data Anggota Loyalty) | Indonesia |
| 12 | Akuntansi | Administrasi akuntansi & keuangan Merchant (tidak langsung menyentuh data Anggota Loyalty) | Indonesia |
Perubahan Sub-Prosesor:
Javara akan memberikan pemberitahuan kepada Merchant setidaknya 30 hari sebelum menambahkan atau menggantikan sub-prosesor yang memproses Data Pribadi Anggota Loyalty. Merchant memiliki hak untuk mengajukan keberatan tertulis terhadap penambahan sub-prosesor baru dalam 14 hari setelah menerima pemberitahuan. Jika keberatan tidak dapat diselesaikan, Merchant berhak mengakhiri DPA (dan Subscription) dengan pemberitahuan tertulis. Ketentuan pengembalian dana atas pengakhiran tersebut mengikuti Bagian 6 (Kebijakan Pengembalian Dana) pada Syarat dan Ketentuan.
8. Mekanisme Transfer Data Internasional
Beberapa sub-prosesor berlokasi di luar Indonesia. Transfer Data Pribadi Anggota Loyalty ke yurisdiksi luar negeri dilakukan berdasarkan mekanisme berikut:
| Yurisdiksi Tujuan | Kategori Sub-Prosesor Terkait | Mekanisme Transfer |
|---|---|---|
| Singapura | Database terkelola; cache & antrian pesan | Singapura memiliki Undang-Undang Perlindungan Data Pribadi (PDPA Singapore) yang dinilai Javara memberikan tingkat pelindungan setara, sesuai penilaian mandiri berdasarkan Pasal 56 UU PDP |
| Amerika Serikat / Global | Infrastruktur hosting & CDN; monitoring error & performa; penyedia AI/LLM | Standard Contractual Clauses (SCC) / Data Processing Agreements (DPA) yang disediakan vendor; kebutuhan kontrak penyampaian layanan |
| EU | Analitik produk (opsi residensi EU) | GDPR-compliant data residency; Standard Contractual Clauses jika berlaku |
| Jerman / Global | WhatsApp Business API (BSP) | SCC / DPA vendor; kebutuhan kontrak penyampaian layanan |
| Global/CDN | Penyimpanan objek; pengiriman email; monitoring uptime & log | Data berupa file kampanye/log teknikal; DPA vendor yang relevan |
| Indonesia | Payment gateway; akuntansi | Transfer domestik — tidak ada persyaratan transfer lintas batas |
Javara berkomitmen untuk memastikan bahwa setiap transfer Data Pribadi ke luar Indonesia dilengkapi dengan mekanisme perlindungan yang memadai sesuai Pasal 56 UU PDP. Merchant dapat meminta salinan mekanisme transfer yang relevan dengan menghubungi privacy@javara.ai.
Catatan Penting tentang Residensi Data Primer: Database utama yang berisi data Anggota Loyalty disimpan di pusat data berlokasi di Singapura, bukan di luar kawasan Asia Tenggara. Ini merupakan pilihan desain yang disengaja untuk meminimalisasi risiko transfer lintas batas.
9. Dukungan Hak Subjek Data
Merchant selaku Pengendali Data bertanggung jawab utama untuk merespons permintaan hak subjek data dari Anggota Loyalty. Javara akan mendukung Merchant dengan:
- Akses & Portabilitas: Menyediakan mekanisme bagi Merchant untuk mengekspor data Anggota Loyalty tertentu dalam format CSV/JSON melalui dashboard atau atas permintaan ke support@javara.ai;
- Koreksi: Memungkinkan Merchant untuk memperbarui/mengoreksi data Anggota Loyalty melalui dashboard Platform;
- Penghapusan (Right to be Forgotten): Memproses permintaan penghapusan data Anggota Loyalty spesifik yang diinstruksikan oleh Merchant dalam waktu 14 hari kerja, kecuali ada kewajiban retensi hukum yang berlaku;
- Pembatasan Pemrosesan: Menerapkan pembatasan pemrosesan atas data Anggota tertentu berdasarkan instruksi Merchant (mis. mengecualikan Anggota dari komunikasi dan pemrosesan aktif);
- Keberatan: Mendukung Merchant dalam mengelola keberatan pemrosesan dari Anggota Loyalty.
Javara tidak memberikan respons langsung kepada Anggota Loyalty atas permintaan hak subjek data, kecuali Merchant secara resmi menginstruksikan demikian atau jika diwajibkan secara langsung oleh hukum.
Biaya: Javara akan mendukung pemenuhan hak subjek data tanpa biaya tambahan untuk permintaan yang wajar. Untuk permintaan massal atau berulang yang di luar kebiasaan, Javara berhak menagih biaya administrasi yang wajar setelah memberitahu Merchant.
10. Keamanan Pemrosesan
Sesuai dengan UU PDP dan standar keamanan internasional yang relevan, Javara menerapkan langkah-langkah teknis dan organisasi berikut untuk melindungi Data Pribadi:
Langkah Teknis:
| Langkah | Detail |
|---|---|
| Enkripsi Transit | TLS 1.2+ untuk semua komunikasi data; HTTPS wajib |
| Enkripsi Diam | AES-256 untuk database utama |
| Kontrol Akses | Role-based access control (RBAC); prinsip least-privilege; akses administratif dibatasi daftar izin (allowlist) |
| Manajemen Kunci | Kunci enkripsi dikelola terpisah dari data yang dienkripsi |
| Logging & Monitoring | Audit log untuk semua akses dan modifikasi data sensitif; monitoring anomali real-time |
| Pengujian Keamanan | Pemindaian kerentanan berkala; dependency auditing |
| Isolasi Data | Data tiap Merchant diisolasi secara logis; tidak ada akses lintas-Merchant |
| Backup | Backup otomatis dengan kemampuan point-in-time recovery |
Langkah Organisasi:
| Langkah | Detail |
|---|---|
| Akses Data Produksi | Hanya personel dengan kebutuhan sah yang memiliki akses (need-to-know) |
| Perjanjian Kerahasiaan | Semua karyawan dan kontraktor terikat NDA |
| Pelatihan Keamanan | Briefing keamanan data untuk personel yang menangani data produksi |
| Respons Insiden | Prosedur respons insiden terdokumentasi; eskalasi dalam 24 jam |
| Review Kebijakan | Review keamanan berkala (minimal tahunan) |
11. Notifikasi Insiden Keamanan
Jika Javara mengetahui terjadinya Insiden Keamanan yang melibatkan Data Pribadi Anggota Loyalty, Javara akan:
Langkah 1 — Notifikasi Awal ke Merchant (dalam 72 jam):
- Memberitahu Merchant melalui email terdaftar dalam 72 jam sejak Javara mengetahui Insiden;
- Notifikasi awal mencakup: (a) deskripsi umum sifat Insiden; (b) perkiraan kategori dan jumlah data yang terdampak; (c) tindakan mitigasi awal yang telah diambil; (d) nama dan kontak koordinator respons insiden Javara.
Langkah 2 — Laporan ke Otoritas (dalam 72 jam):
- Melaporkan Insiden kepada otoritas pengawas yang berwenang (Komdigi/BSSN atau lembaga pengawas yang ditunjuk berdasarkan UU PDP) jika diwajibkan oleh hukum, dalam 72 jam sesuai UU PDP Pasal 46.
Langkah 3 — Pembaruan Berkala:
- Memberikan pembaruan kepada Merchant setiap 24–48 jam selama investigasi berlangsung;
- Menyampaikan laporan Insiden akhir yang komprehensif dalam 30 hari mencakup: analisis akar masalah, dampak lengkap, dan tindakan perbaikan jangka panjang.
Kewajiban Merchant Setelah Notifikasi: Merchant yang menerima notifikasi Insiden dari Javara bertanggung jawab untuk menentukan apakah mereka perlu memberitahu Anggota Loyalty yang terdampak sesuai kewajiban mereka sebagai Pengendali Data berdasarkan UU PDP.
12. Hak Audit
Merchant memiliki hak untuk melakukan audit atau meminta audit atas kepatuhan Javara terhadap DPA ini, dengan ketentuan berikut:
- Frekuensi: Maksimum 1 (satu) kali per tahun, kecuali diperlukan akibat Insiden Keamanan yang terkonfirmasi;
- Pemberitahuan: Merchant harus memberikan pemberitahuan tertulis kepada Javara setidaknya 30 hari sebelum audit yang direncanakan;
- Ruang Lingkup: Audit harus dibatasi pada pemrosesan Data Pribadi yang relevan dengan DPA ini. Audit tidak boleh mengganggu operasi bisnis normal Javara atau mengekspos data milik Merchant lain;
- Auditor: Merchant dapat menggunakan auditor pihak ketiga yang independen; auditor wajib menandatangani perjanjian kerahasiaan yang memadai sebelum audit dimulai;
- Biaya: Merchant menanggung biaya audit. Javara berhak menagih biaya administratif yang wajar jika audit memerlukan sumber daya internal Javara yang signifikan;
- Alternatif Audit: Atas permintaan, Javara dapat menyediakan laporan keamanan atau sertifikasi yang relevan (misalnya, hasil penetration testing, ringkasan SOC 2 jika tersedia) sebagai pengganti atau pelengkap audit langsung.
13. Pengembalian & Penghapusan Data Setelah Berakhirnya Perjanjian
Setelah berakhirnya Subscription (baik karena pembatalan, non-pembaruan, atau pengakhiran):
Periode 0–30 hari:
- Merchant dapat mengunduh dan mengekspor semua Data Pribadi Anggota Loyalty mereka melalui dashboard (atau atas permintaan ke support@javara.ai) dalam format CSV atau JSON;
- Merchant dapat mengajukan permintaan penghapusan segera melalui privacy@javara.ai.
Periode 31 hari – 1 (satu) tahun:
- Jika tidak ada permintaan ekspor atau penghapusan, Javara mempertahankan data dalam status archival dengan akses terbatas;
- Data tidak digunakan untuk tujuan pemrosesan aktif apa pun selama periode ini.
Setelah 1 (satu) tahun:
- Javara melakukan penghapusan permanen semua Data Pribadi Anggota Loyalty dari sistem produksi melalui proses penghapusan berkala yang dijalankan sekurang-kurangnya setahun sekali; salinan cadangan terhapus mengikuti siklus rotasi backup, dan penghapusan pada sistem sub-prosesor dilakukan sejauh dapat dilaksanakan secara teknis;
- Atas permintaan, Javara mengirimkan konfirmasi tertulis penghapusan kepada Merchant melalui email.
Pengecualian Retensi:
- Audit Log: Disimpan selama 1 (satu) tahun setelah pembatalan untuk tujuan kepatuhan dan investigasi keamanan. Audit log tidak berisi Data Pribadi Anggota Loyalty yang dapat diidentifikasi secara langsung;
- Data Keuangan: Data terkait faktur dan pembayaran Merchant disimpan hingga 5 tahun sesuai hukum perpajakan Indonesia — ini tidak mencakup Data Pribadi Anggota Loyalty.
14. Tanggung Jawab & Ganti Rugi
Tanggung jawab masing-masing pihak berdasarkan DPA ini tunduk pada ketentuan batasan tanggung gugat yang diatur dalam Syarat dan Ketentuan (Bagian 13 Perjanjian Utama), dengan pengecualian berikut:
Kewajiban Javara yang tidak dapat dibatasi:
- Kegagalan Javara untuk memberitahu Merchant tentang Insiden Keamanan dalam batas waktu yang ditetapkan;
- Pemrosesan Data Pribadi di luar Instruksi Merchant yang terbukti merupakan pelanggaran yang disengaja oleh Javara;
- Kegagalan Javara untuk menghapus Data Pribadi setelah berakhirnya DPA.
Kewajiban Merchant: Merchant bertanggung jawab penuh sebagai Pengendali Data untuk memastikan keabsahan dasar hukum pemrosesan dan perolehan persetujuan Anggota Loyalty sebelum data tersebut masuk ke Platform Javara.
Alokasi Tanggung Jawab kepada Pihak Ketiga: Jika suatu klaim timbul dari tindakan atau kelalaian sub-prosesor, Javara akan menggunakan upaya yang wajar untuk mengklaim ganti rugi dari sub-prosesor yang bersangkutan. Tanggung jawab Javara kepada Merchant untuk tindakan sub-prosesor tetap tunduk pada batas yang ditetapkan dalam Perjanjian Utama.
15. Hukum yang Berlaku
DPA ini diatur oleh dan ditafsirkan berdasarkan hukum Republik Indonesia. Penyelesaian sengketa tunduk pada ketentuan yang sama dengan Perjanjian Utama (Bagian 18 dan 19 Syarat dan Ketentuan).
16. Blok Tanda Tangan
DPA ini menjadi bagian dari Syarat dan Ketentuan yang telah disetujui Merchant saat mendaftar ke Platform Javara. Untuk perjanjian eksplisit atau kebutuhan tanda tangan terpisah (misalnya, untuk Merchant korporat atau keperluan audit), gunakan blok tanda tangan berikut:
DISEPAKATI OLEH / AGREED BY:
MERCHANT / PENGENDALI DATA:
| Nama Bisnis / Business Name: | _________________________________ |
| Nama Penanggung Jawab / Authorized Signatory: | _________________________________ |
| Jabatan / Title: | _________________________________ |
| Email: | _________________________________ |
| Tanda Tangan / Signature: | _________________________________ |
| Tanggal / Date: | _________________________________ |
JAVARA / PEMROSES DATA:
| Nama Entitas / Entity Name: | PT Javara Artificial Int |
| Nama Penanggung Jawab / Authorized Signatory: | Anwar |
| Jabatan / Title: | Pendiri & CEO / Founder & CEO |
| Email: | legal@javara.ai |
| Tanda Tangan / Signature: | _________________________________ |
| Tanggal / Date: | _________________________________ |
Dokumen ini diterbitkan oleh Javara (javara.ai) dan tunduk pada hukum Republik Indonesia.
Background
This Data Processing Addendum ("DPA") forms part of and is incorporated into the Javara Terms of Service ("Main Agreement") between:
The Merchant (as defined in the Main Agreement) as the Data Controller; and
PT Javara Artificial Int, operating the Platform at javara.ai, as the Data Processor.
This DPA governs the processing of Personal Data of Loyalty Members (F&B end-customers) by Javara on the Merchant's instruction, in accordance with:
- Law No. 27 of 2022 on Personal Data Protection (UU PDP), particularly Article 41 and related provisions on Data Processor obligations; and
- Regulation (EU) 2016/679 (GDPR), particularly Article 28, as an international reference standard for responsible data processing practices.
In the event of a conflict between this DPA and the Main Agreement regarding the processing of Personal Data, this DPA prevails.
1. Background & Definitions
In addition to definitions in the Main Agreement, the following definitions apply in this DPA:
- "Data Controller" means the Merchant as the party determining the purposes and means of processing Loyalty Member Personal Data.
- "Data Processor" means Javara as the party processing Personal Data on the Data Controller's instruction.
- "Sub-Processor" means a third party engaged by Javara to assist in processing Personal Data.
- "Instructions" means directions given by the Merchant to Javara regarding the manner of processing Personal Data, which may be given through Platform configuration or in writing.
- "Security Incident" means a security breach resulting in the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, Personal Data.
- "Transfer Mechanism" means a lawful mechanism for transferring Personal Data outside Indonesia, including adequate data transfer agreements, standard contractual clauses, or other legal bases recognised by UU PDP.
- "Data Subject Rights" means individual rights over their Personal Data as set out in UU PDP Articles 5–16 and GDPR Articles 15–22.
2. Subject Matter & Duration of Processing
Subject Matter of Processing: Javara processes Loyalty Member Personal Data on behalf of the Merchant for the purpose of operating loyalty programmes, AI-driven growth analytics, and other related functions available on the Platform.
Duration: Processing continues for the duration of the Merchant's active Subscription. Following the expiry or cancellation of the Subscription, Javara will retain Personal Data for 1 (one) year before executing permanent deletion (via a periodic deletion process), unless the Merchant requests earlier deletion or law requires longer retention.
3. Nature & Purpose of Processing
Javara processes Loyalty Member Personal Data for the following purposes, as directed by the Merchant:
| Purpose | Description |
|---|---|
| Loyalty Management | Membership registration, points accumulation, reward redemption |
| Loyalty Communications | Sending transaction notifications, reward reminders, campaign messages via WhatsApp/email |
| Analytics | Generating AI-based growth reports for the Merchant (data is aggregated/anonymised for insights) |
| Transaction Records | Recording purchase history related to loyalty programmes |
| Customer Segmentation | Grouping Loyalty Members by purchasing behaviour for Merchant campaign purposes |
Javara does not process Loyalty Member Personal Data for its own benefit beyond the purposes specified above, except when using truly anonymised and aggregated data for general platform AI model improvement.
4. Categories of Data Subjects
The data subjects whose data is processed under this DPA are:
- Loyalty Members / F&B End-Customers: Individual consumers who voluntarily register their mobile phone numbers to loyalty programmes operated by Merchants through the Javara Platform. This may include consumers from various demographics, including potentially consumers under 17 years of age — in such cases the Merchant as Data Controller bears full responsibility for ensuring valid parental or guardian consent.
5. Categories of Personal Data
Categories of Personal Data processed under this DPA:
| Category | Specific Data | Sensitivity Level |
|---|---|---|
| Identification | Mobile phone number (required), name (optional) | Regular |
| Demographic | Date of birth (optional) | Regular |
| Transaction | Purchase amount, transaction date, outlet location | Regular |
| Loyalty Programme | Points balance, redemption history, reward type | Regular |
Personal Data not processed under this DPA: sensitive financial data (card numbers, bank accounts), and specific personal data under UU PDP Article 4(2) such as health data, biometric data, genetic data, and criminal records. Note: children's data (also a specific category under Article 4(2)) may be processed where a Merchant enrols an under-age consumer — parental/guardian consent responsibility is governed by Section 4.
6. Obligations of Javara as Data Processor
Javara, as Data Processor, commits to:
-
Processing Only on Instructions: Processing Loyalty Member Personal Data only on lawful Instructions from the Merchant as Data Controller, unless otherwise required by applicable law. If law requires processing beyond Instructions, Javara will notify the Merchant beforehand unless prohibited by law;
-
Maintaining Confidentiality: Ensuring that authorised personnel with access to Personal Data are bound by appropriate confidentiality obligations;
-
Implementing Security Measures: Implementing the technical and organisational measures referred to in Section 10 of this DPA;
-
Sub-Processor Management: Not engaging new sub-processors without Merchant notification as set out in Section 7;
-
Data Subject Rights Assistance: Assisting the Merchant in meeting obligations regarding data subject rights per Section 9;
-
Incident Notification: Notifying the Merchant as soon as possible, and no later than 72 hours after becoming aware of a Security Incident, per Section 11;
-
Audit Rights: Enabling audits and inspections by the Merchant or its appointed auditor per Section 12;
-
Data Deletion/Return: Upon termination of processing, deleting or returning Personal Data per Section 13.
7. Sub-Processor List & Right to Object
The Merchant hereby grants Javara general authorisation to use the sub-processors listed below. Javara is responsible for each sub-processor's compliance with data protection obligations equivalent to this DPA.
| # | Sub-Processor Category | Function Related to Loyalty Member Data | Data Location |
|---|---|---|---|
| 1 | Hosting & CDN Infrastructure | Web application & API hosting processing loyalty requests | United States / Global |
| 2 | Managed Database | Primary database storage (Loyalty Member data) | Singapore |
| 3 | Object Storage | Storage for campaign files, media content, and claim receipt photos | Global (CDN) |
| 4 | Cache & Message Queue | Session cache and loyalty notification message queuing | Singapore |
| 5 | Error & Performance Monitoring | Error tracking potentially including request metadata | United States |
| 6 | Uptime & Log Monitoring | Log monitoring (potentially including request metadata) | Global |
| 7 | Product Analytics | Platform usage analytics (anonymised, without direct Loyalty Member PII) | EU / United States |
| 8 | Email Delivery | Transactional email related to loyalty | Global |
| 9 | WhatsApp Business API (BSP) | WhatsApp message delivery (OTP & notifications) to Loyalty Members | Germany / Global |
| 10 | AI/LLM Service Provider | AI processing for analytics & recommendations (data anonymised prior to sending) | United States / Global |
| 11 | Payment Gateway | Merchant payment processing (does not directly interact with Loyalty Member data) | Indonesia |
| 12 | Accounting | Merchant accounting & financial administration (does not directly interact with Loyalty Member data) | Indonesia |
Sub-Processor Changes:
Javara will provide Merchants with at least 30 days' notice before adding or replacing a sub-processor that processes Loyalty Member Personal Data. Merchants have the right to submit a written objection to a new sub-processor addition within 14 days of receiving the notice. If the objection cannot be resolved, the Merchant is entitled to terminate the DPA (and Subscription) with written notice. Any refund upon such termination is governed by Section 6 (Refund Policy) of the Terms of Service.
8. International Transfer Mechanisms
Several sub-processors are located outside Indonesia. Transfers of Loyalty Member Personal Data to foreign jurisdictions are made based on the following mechanisms:
| Destination Jurisdiction | Relevant Sub-Processor Categories | Transfer Mechanism |
|---|---|---|
| Singapore | Managed database; cache & message queue | Singapore has its own Personal Data Protection Act (PDPA Singapore), assessed by Javara as providing an equivalent level of protection per its self-assessment under UU PDP Article 56 |
| United States / Global | Hosting & CDN infrastructure; error & performance monitoring; AI/LLM providers | Standard Contractual Clauses (SCCs) / Data Processing Agreements (DPAs) provided by vendors; contractual necessity for service delivery |
| EU | Product analytics (EU residency option) | GDPR-compliant data residency; Standard Contractual Clauses where applicable |
| Germany / Global | WhatsApp Business API (BSP) | Vendor SCCs / DPAs; contractual necessity for service delivery |
| Global/CDN | Object storage; email delivery; uptime & log monitoring | Campaign files / technical log data; relevant vendor DPAs |
| Indonesia | Payment gateway; accounting | Domestic transfer — no cross-border transfer requirements |
Javara commits to ensuring every transfer of Personal Data outside Indonesia is accompanied by adequate protective mechanisms per UU PDP Article 56. Merchants may request copies of relevant transfer mechanisms by contacting privacy@javara.ai.
Important Note on Primary Data Residency: The primary database containing Loyalty Member data is stored in a data centre located in Singapore, not outside the Southeast Asian region. This is a deliberate design choice to minimise cross-border transfer risks.
9. Data Subject Rights Support
The Merchant as Data Controller bears primary responsibility for responding to Loyalty Member data subject rights requests. Javara will support the Merchant with:
- Access & Portability: Providing mechanisms for the Merchant to export specific Loyalty Member data in CSV/JSON format via the dashboard or upon request to support@javara.ai;
- Rectification: Enabling the Merchant to update/correct Loyalty Member data through the Platform dashboard;
- Erasure (Right to be Forgotten): Processing deletion requests for specific Loyalty Member data as instructed by the Merchant within 14 business days, unless a legal retention obligation applies;
- Restriction of Processing: Applying processing restrictions to specific Member data on the Merchant's instruction (e.g., excluding a Member from communications and active processing);
- Objection: Supporting the Merchant in managing Loyalty Member processing objections.
Javara does not respond directly to Loyalty Members' data subject rights requests, unless the Merchant formally instructs it to do so or if directly required by law.
Fees: Javara will support data subject rights fulfilment at no additional charge for reasonable requests. For unusually bulk or repetitive requests, Javara reserves the right to charge a reasonable administrative fee after notifying the Merchant.
10. Security of Processing
In accordance with UU PDP and relevant international security standards, Javara implements the following technical and organisational measures to protect Personal Data:
Technical Measures:
| Measure | Details |
|---|---|
| Encryption in Transit | TLS 1.2+ for all data communications; HTTPS mandatory |
| Encryption at Rest | AES-256 for primary databases |
| Access Control | Role-based access control (RBAC); least-privilege principle; administrative access restricted by allowlist |
| Key Management | Encryption keys managed separately from encrypted data |
| Logging & Monitoring | Audit logs for all access to and modification of sensitive data; real-time anomaly monitoring |
| Security Testing | Periodic vulnerability scanning; dependency auditing |
| Data Isolation | Each Merchant's data is logically isolated; no cross-Merchant access |
| Backup | Automated backups with point-in-time recovery capability |
Organisational Measures:
| Measure | Details |
|---|---|
| Production Data Access | Only personnel with legitimate need have access (need-to-know) |
| Confidentiality Agreements | All employees and contractors are bound by NDA |
| Security Training | Data security briefings for personnel handling production data |
| Incident Response | Documented incident response procedures; escalation within 24 hours |
| Policy Review | Periodic security reviews (minimum annually) |
11. Security Breach Notification
If Javara becomes aware of a Security Incident involving Loyalty Member Personal Data, Javara will:
Step 1 — Initial Merchant Notification (within 72 hours):
- Notify the Merchant via registered email within 72 hours of Javara becoming aware of the Incident;
- Initial notification includes: (a) general description of the nature of the Incident; (b) estimated categories and number of data records affected; (c) initial mitigation actions already taken; (d) name and contact of Javara's incident response coordinator.
Step 2 — Authority Report (within 72 hours):
- Report the Incident to the relevant supervisory authority (Komdigi/BSSN or the supervisory body designated under UU PDP) if required by law, within 72 hours per UU PDP Article 46.
Step 3 — Ongoing Updates:
- Provide updates to the Merchant every 24–48 hours during active investigation;
- Deliver a comprehensive final Incident report within 30 days covering: root cause analysis, full impact assessment, and long-term remediation actions.
Merchant Obligations After Notification: Merchants receiving an Incident notification from Javara are responsible for determining whether they need to notify affected Loyalty Members per their obligations as Data Controller under UU PDP.
12. Audit Rights
The Merchant has the right to conduct or request an audit of Javara's compliance with this DPA, subject to the following conditions:
- Frequency: Maximum 1 (one) time per year, unless required due to a confirmed Security Incident;
- Notice: The Merchant must provide Javara with written notice at least 30 days before a planned audit;
- Scope: The audit must be limited to the processing of Personal Data relevant to this DPA. Audits must not disrupt Javara's normal business operations or expose data belonging to other Merchants;
- Auditor: The Merchant may use an independent third-party auditor; the auditor must sign an adequate confidentiality agreement before the audit commences;
- Costs: The Merchant bears audit costs. Javara reserves the right to charge a reasonable administrative fee if the audit requires significant Javara internal resources;
- Audit Alternatives: Upon request, Javara may provide relevant security reports or certifications (e.g., penetration testing results, SOC 2 summary if available) as a substitute for or complement to a direct audit.
13. Return & Deletion of Data Post-Termination
Following Subscription termination (whether by cancellation, non-renewal, or termination):
Days 0–30:
- Merchants may download and export all their Loyalty Member Personal Data via the dashboard (or upon request to support@javara.ai) in CSV or JSON format;
- Merchants may request immediate deletion via privacy@javara.ai.
Day 31 – 1 (one) year:
- If no export or deletion request is made, Javara retains data in an archival state with restricted access;
- Data is not used for any active processing purposes during this period.
After 1 (one) year:
- Javara executes permanent deletion of all Loyalty Member Personal Data from production systems through a periodic deletion process run at least once a year; backup copies expire per the backup rotation cycle, and deletion from sub-processor systems is performed to the extent technically feasible;
- Upon request, Javara will send a written deletion confirmation to the Merchant via email.
Retention Exceptions:
- Audit Logs: Retained for 1 (one) year after cancellation for compliance and security investigation purposes. Audit logs do not contain directly identifiable Loyalty Member Personal Data;
- Financial Data: Merchant invoice and payment data is retained for up to 5 years per Indonesian tax law — this does not include Loyalty Member Personal Data.
14. Liability & Indemnification
Each party's liability under this DPA is subject to the limitation of liability provisions in the Terms of Service (Section 13 of the Main Agreement), with the following exceptions:
Javara obligations that cannot be limited:
- Javara's failure to notify the Merchant of a Security Incident within the stipulated timeframe;
- Processing of Personal Data outside the Merchant's Instructions where this is proven to be an intentional breach by Javara;
- Javara's failure to delete Personal Data after this DPA ends.
Merchant Obligations: The Merchant, as Data Controller, bears full responsibility for ensuring the validity of the legal basis for processing and for obtaining Loyalty Member consent before that data enters the Javara Platform.
Liability Allocation for Third Parties: If a claim arises from a sub-processor's acts or omissions, Javara will use reasonable efforts to claim indemnification from the relevant sub-processor. Javara's liability to the Merchant for sub-processor actions remains subject to the limits set out in the Main Agreement.
15. Governing Law
This DPA is governed by and construed in accordance with the laws of the Republic of Indonesia. Dispute resolution is subject to the same provisions as the Main Agreement (Sections 18 and 19 of the Terms of Service).
16. Signature Block
This DPA forms part of the Terms of Service agreed to by the Merchant upon registering for the Javara Platform. For explicit agreement or separate signature requirements (e.g., for corporate Merchants or audit purposes), use the following signature block:
DISEPAKATI OLEH / AGREED BY:
MERCHANT / PENGENDALI DATA:
| Nama Bisnis / Business Name: | _________________________________ |
| Nama Penanggung Jawab / Authorized Signatory: | _________________________________ |
| Jabatan / Title: | _________________________________ |
| Email: | _________________________________ |
| Tanda Tangan / Signature: | _________________________________ |
| Tanggal / Date: | _________________________________ |
JAVARA / PEMROSES DATA:
| Nama Entitas / Entity Name: | PT Javara Artificial Int |
| Nama Penanggung Jawab / Authorized Signatory: | Anwar |
| Jabatan / Title: | Pendiri & CEO / Founder & CEO |
| Email: | legal@javara.ai |
| Tanda Tangan / Signature: | _________________________________ |
| Tanggal / Date: | _________________________________ |
This document is published by Javara (javara.ai) and is subject to the laws of the Republic of Indonesia.