Overview

UU PDP Compliance (Personal Data Protection)

UU PDP Compliance

Kepatuhan terhadap Undang-Undang Perlindungan Data Pribadi

PT Divistant Teknologi Indonesia (trading as "Divistant")


Last Updated: February 24, 2026


1. Introduction / Pendahuluan


PT Divistant Teknologi Indonesia ("Divistant") is fully committed to complying with Indonesia's Personal Data Protection Law, Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi ("UU PDP"). This document outlines our practices, obligations, and your rights as a data subject (Subjek Data Pribadi) under the UU PDP.


Company Details / Identitas Pengendali Data Pribadi:

  1. Nama Badan Hukum: PT Divistant Teknologi Indonesia
  2. Nama Dagang: Divistant
  3. Alamat: Jakarta, Indonesia
  4. Website: divistant.com
  5. Kontak: divistant.com/contacts


Divistant bertindak sebagai Pengendali Data Pribadi (Data Controller) sebagaimana dimaksud dalam Pasal 1 angka 4 UU PDP untuk data pribadi yang kami kumpulkan dan proses secara langsung. Dalam hal kami memproses data pribadi atas nama klien melalui platform SaaS atau managed services, kami bertindak sebagai Prosesor Data Pribadi (Data Processor) sesuai Pasal 1 angka 5 UU PDP.


2. Pejabat Perlindungan Data Pribadi / Data Protection Officer


Sesuai dengan ketentuan UU PDP, Divistant telah menunjuk Pejabat yang bertanggung jawab atas perlindungan data pribadi. Untuk pertanyaan, permintaan, atau keluhan terkait perlindungan data pribadi Anda, silakan hubungi:


  1. Data Protection Officer: divistant.com/contacts


3. Ruang Lingkup / Scope


Dokumen kepatuhan UU PDP ini berlaku untuk seluruh pemrosesan data pribadi yang dilakukan oleh Divistant, termasuk data yang dikumpulkan melalui:

  1. Website dan platform online (divistant.com dan subdomainnya)
  2. Produk SaaS dan platform berbasis cloud
  3. Layanan konsultasi IT dan jasa profesional
  4. Proyek integrasi sistem
  5. Managed services (layanan terkelola)
  6. Komunikasi bisnis, penjualan, dan pemasaran
  7. Proses rekrutmen dan ketenagakerjaan


4. Jenis Data Pribadi / Types of Personal Data


UU PDP membedakan dua kategori data pribadi (Pasal 4):


a. Data Pribadi Umum (General Personal Data)

Meliputi data yang dapat mengidentifikasi seseorang secara langsung maupun tidak langsung:

  1. Nama lengkap, alamat email, nomor telepon
  2. Jabatan, nama perusahaan, alamat bisnis
  3. Alamat IP, informasi perangkat, data browser
  4. Data penggunaan layanan dan riwayat transaksi
  5. Informasi akun dan preferensi pengguna


b. Data Pribadi Spesifik (Specific Personal Data)

Sesuai Pasal 4 ayat (2) UU PDP, data pribadi spesifik meliputi:

  1. Data dan informasi kesehatan
  2. Data biometrik
  3. Data genetika
  4. Catatan kejahatan
  5. Data anak
  6. Data keuangan pribadi
  7. Data lainnya sesuai ketentuan peraturan perundang-undangan


Divistant pada umumnya hanya memproses Data Pribadi Umum. Apabila terdapat kebutuhan untuk memproses Data Pribadi Spesifik, kami akan memperoleh persetujuan eksplisit tertulis dari Subjek Data Pribadi sesuai ketentuan Pasal 34 UU PDP.


5. Dasar Pemrosesan Data Pribadi / Legal Basis for Processing


Divistant memproses data pribadi berdasarkan dasar hukum yang sah sesuai Pasal 20 UU PDP:


  1. Persetujuan (Pasal 20 huruf a): Pemrosesan dilakukan berdasarkan persetujuan yang sah dari Subjek Data Pribadi. Persetujuan diberikan secara tertulis atau terekam, bersifat spesifik, dan dapat ditarik kembali (Pasal 8-9).
  2. Pemenuhan Perjanjian (Pasal 20 huruf b): Pemrosesan diperlukan untuk pelaksanaan perjanjian dengan Subjek Data Pribadi, seperti penyediaan layanan IT, pengelolaan akun, dan pemrosesan pembayaran.
  3. Kewajiban Hukum (Pasal 20 huruf c): Pemrosesan diwajibkan oleh peraturan perundang-undangan, seperti kewajiban perpajakan dan pelaporan keuangan.
  4. Kepentingan Vital (Pasal 20 huruf d): Pemrosesan diperlukan untuk melindungi kepentingan vital Subjek Data Pribadi atau orang lain.
  5. Kepentingan Sah Lainnya (Pasal 20 huruf e-g): Termasuk pelaksanaan tugas untuk kepentingan umum, pelayanan publik, atau kepentingan sah lainnya sesuai ketentuan UU PDP.


6. Kewajiban Pengendali Data Pribadi / Controller Obligations


Sebagai Pengendali Data Pribadi, Divistant melaksanakan kewajiban sesuai Pasal 20-39 UU PDP, meliputi:


  1. Dasar Pemrosesan yang Sah (Pasal 20-21): Memastikan setiap pemrosesan data pribadi memiliki dasar hukum yang sah.
  2. Pencatatan Aktivitas Pemrosesan (Pasal 31): Menyimpan catatan seluruh aktivitas pemrosesan data pribadi.
  3. Perlindungan dan Keamanan (Pasal 35): Melindungi data pribadi dari pemrosesan yang tidak sah, akses tidak sah, pengungkapan, pengubahan, penyalahgunaan, perusakan, dan/atau penghilangan.
  4. Kerahasiaan (Pasal 36): Menjaga kerahasiaan data pribadi yang diproses.
  5. Pengawasan Prosesor (Pasal 37): Melakukan pengawasan terhadap setiap pihak yang dilibatkan dalam pemrosesan data pribadi.
  6. Penghapusan (Pasal 38-39): Menghapus data pribadi apabila tidak lagi diperlukan untuk tujuan pemrosesan, Subjek Data menarik persetujuan, atau atas permintaan Subjek Data.


7. Hak Subjek Data Pribadi / Data Subject Rights


Sesuai Pasal 5-13 UU PDP, Anda sebagai Subjek Data Pribadi memiliki hak-hak berikut:


  1. Hak atas Informasi (Pasal 5): Mendapatkan informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan, serta akuntabilitas pihak yang meminta data pribadi.
  2. Hak untuk Melengkapi dan Memperbarui (Pasal 6): Melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan data pribadi.
  3. Hak Akses (Pasal 7): Mendapatkan akses dan memperoleh salinan data pribadi tentang dirinya sesuai ketentuan peraturan perundang-undangan.
  4. Hak untuk Mengakhiri Pemrosesan (Pasal 8): Mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi tentang dirinya.
  5. Hak untuk Menarik Persetujuan (Pasal 9): Menarik kembali persetujuan pemrosesan data pribadi yang telah diberikan. Penarikan persetujuan tidak memengaruhi keabsahan pemrosesan yang telah dilakukan sebelumnya.
  6. Hak untuk Menolak Pengambilan Keputusan Otomatis (Pasal 10): Menolak tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan.
  7. Hak untuk Menunda atau Membatasi (Pasal 11): Menunda atau membatasi pemrosesan data pribadi secara proporsional sesuai tujuan pemrosesan.
  8. Hak untuk Menggugat (Pasal 12): Menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya sesuai ketentuan peraturan perundang-undangan.
  9. Hak untuk Memperoleh dan Menggunakan (Pasal 13): Mendapatkan dan/atau menggunakan data pribadi tentang dirinya dari Pengendali Data Pribadi dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan atau dapat dibaca oleh sistem elektronik (portabilitas data).


8. Cara Melaksanakan Hak Anda / How to Exercise Your Rights


Untuk melaksanakan hak-hak Anda sebagai Subjek Data Pribadi, silakan:

  1. Menghubungi kami melalui divistant.com/contacts
  2. Menghubungi Pejabat Perlindungan Data Pribadi kami secara langsung


Kami akan memproses permintaan Anda paling lambat 3x24 jam sejak permintaan diterima (Pasal 21 ayat 2 UU PDP) dan menyelesaikannya dalam waktu yang wajar. Untuk permintaan akses data, kami akan menyediakan salinan data Anda dalam format yang dapat dibaca.


9. Transfer Data Pribadi ke Luar Negeri / International Data Transfers


Sesuai Pasal 56 UU PDP, transfer data pribadi ke luar wilayah hukum Negara Republik Indonesia hanya dapat dilakukan apabila:

  1. Negara tujuan memiliki tingkat perlindungan data pribadi yang setara atau lebih tinggi dari yang diatur dalam UU PDP
  2. Terdapat perlindungan data pribadi yang memadai dan mengikat melalui perjanjian internasional atau kontrak
  3. Terdapat persetujuan dari Subjek Data Pribadi setelah diberikan informasi yang memadai


Divistant menerapkan langkah-langkah perlindungan berikut untuk transfer data internasional:

  1. Perjanjian pemrosesan data (Data Processing Agreement) dengan pihak penerima
  2. Penilaian tingkat perlindungan data di negara tujuan
  3. Enkripsi data dalam transit dan penyimpanan
  4. Kontrol akses dan pembatasan penggunaan data


10. Retensi Data Pribadi / Data Retention


Divistant menyimpan data pribadi hanya selama diperlukan untuk memenuhi tujuan pemrosesan atau sesuai kewajiban hukum (Pasal 25 UU PDP). Periode retensi meliputi:

  1. Data Akun: Selama akun aktif, ditambah 12 bulan setelah penutupan akun
  2. Data Transaksi: Hingga 10 tahun sesuai kewajiban perpajakan dan peraturan komersial Indonesia
  3. Data Komunikasi: Hingga 3 tahun sejak interaksi terakhir
  4. Data Teknis/Penggunaan: Hingga 24 bulan sejak pengumpulan
  5. Catatan Persetujuan: Selama persetujuan berlaku, ditambah 3 tahun setelah penarikan


Setelah periode retensi berakhir, data pribadi akan dihapus atau dianonimisasi secara aman sesuai Pasal 38-39 UU PDP.


11. Keamanan Data Pribadi / Data Security


Sesuai Pasal 35 UU PDP, Divistant menerapkan langkah-langkah teknis dan organisasi yang memadai untuk melindungi data pribadi, meliputi:

  1. Enkripsi: Enkripsi data dalam transit (TLS/SSL) dan penyimpanan (AES-256)
  2. Kontrol Akses: Kontrol akses berbasis peran (RBAC), prinsip hak akses minimum, dan autentikasi multi-faktor (MFA)
  3. Pemantauan: Pemantauan keamanan berkelanjutan, deteksi intrusi, dan pencatatan log
  4. Penilaian: Penilaian keamanan berkala, uji penetrasi, dan manajemen kerentanan
  5. Pelatihan: Pelatihan kesadaran perlindungan data dan keamanan informasi untuk seluruh karyawan
  6. Pengembangan Aman: Praktik pengembangan perangkat lunak yang aman (Secure SDLC)


12. Penanganan Kegagalan Perlindungan Data / Data Breach Response


Sesuai Pasal 46 UU PDP, apabila terjadi kegagalan perlindungan data pribadi, Divistant wajib:


  1. Pemberitahuan Tertulis: Menyampaikan pemberitahuan secara tertulis paling lambat 3x24 jam kepada Subjek Data Pribadi dan lembaga yang berwenang sejak diketahuinya kegagalan perlindungan data pribadi.
  2. Isi Pemberitahuan (Pasal 46 ayat 2): Pemberitahuan memuat minimal: (a) data pribadi yang terungkap, (b) kapan dan bagaimana data pribadi terungkap, dan (c) upaya penanganan dan pemulihan atas terungkapnya data pribadi.
  3. Investigasi: Melakukan investigasi internal untuk mengidentifikasi penyebab dan dampak kegagalan.
  4. Remediasi: Mengambil langkah-langkah untuk mencegah kegagalan serupa di masa mendatang.


13. Sanksi dan Penegakan Hukum / Sanctions and Enforcement


UU PDP menetapkan sanksi bagi pelanggaran perlindungan data pribadi:


a. Sanksi Administratif (Pasal 57)

  1. Peringatan tertulis
  2. Penghentian sementara kegiatan pemrosesan data pribadi
  3. Penghapusan atau pemusnahan data pribadi
  4. Denda administratif paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran


b. Sanksi Pidana (Pasal 67-73)

Pelanggaran serius terhadap UU PDP dapat dikenakan sanksi pidana berupa pidana penjara dan/atau denda, termasuk:

  1. Pengumpulan data pribadi yang bukan miliknya secara melawan hukum: pidana penjara paling lama 5 tahun dan/atau denda paling banyak Rp5 miliar
  2. Pengungkapan data pribadi yang bukan miliknya secara melawan hukum: pidana penjara paling lama 4 tahun dan/atau denda paling banyak Rp4 miliar
  3. Penggunaan data pribadi yang bukan miliknya secara melawan hukum: pidana penjara paling lama 5 tahun dan/atau denda paling banyak Rp5 miliar


Divistant berkomitmen penuh untuk mematuhi seluruh ketentuan UU PDP guna melindungi data pribadi dan menghindari sanksi di atas.


14. Masa Transisi / Transition Period


UU PDP disahkan pada 17 Oktober 2022 dan memberikan masa transisi selama 2 (dua) tahun bagi Pengendali Data Pribadi dan Prosesor Data Pribadi untuk menyesuaikan diri dengan ketentuan UU PDP (Pasal 74). Masa transisi berakhir pada 17 Oktober 2024. Divistant telah menyelesaikan penyesuaian dan sepenuhnya mematuhi UU PDP sejak sebelum berakhirnya masa transisi.


15. Hubungan dengan Regulasi Lain / Relationship with Other Regulations


Selain UU PDP, pemrosesan data pribadi oleh Divistant juga memperhatikan ketentuan dalam:

  1. PP 71/2019: Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik
  2. Permenkominfo 20/2016: Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik
  3. GDPR: EU General Data Protection Regulation (Regulation 2016/679), untuk pemrosesan data pribadi warga negara EU/EEA. Lihat GDPR Compliance Documentation kami.


16. Perubahan Dokumen / Changes to This Document


Kami dapat memperbarui dokumen kepatuhan UU PDP ini dari waktu ke waktu untuk mencerminkan perubahan dalam praktik pemrosesan data kami, peraturan perundang-undangan yang berlaku, atau pedoman dari lembaga yang berwenang. Kami akan mempublikasikan dokumen yang diperbarui di website kami dan memperbarui tanggal "Last Updated".


17. Informasi Kontak / Contact Information


Untuk pertanyaan mengenai dokumen Kepatuhan UU PDP ini, untuk melaksanakan hak perlindungan data Anda, atau untuk menyampaikan keluhan mengenai praktik pemrosesan data kami, silakan hubungi:

  1. Pejabat Perlindungan Data / DPO: divistant.com/contacts
  2. Pertanyaan Umum / General Inquiries: divistant.com/contacts
  3. Perusahaan / Company: PT Divistant Teknologi Indonesia, Jakarta, Indonesia


Untuk informasi lebih lanjut tentang praktik perlindungan data kami secara umum, silakan lihat Privacy Policy kami.