Perjanjian Pemrosesan Data Pribadi (DPA) — Klinik sebagai Pengendali, Digivana sebagai Prosesor

DRAF — wajib ditinjau konsultan hukum sebelum dipakai. Versi draf 0.1, Oktober 2026. Lampiran tak terpisahkan dari Syarat Layanan Medivana dan Formulir Pemesanan.

Para pihak

1. {Nama badan usaha/fasyankes}, {alamat}, diwakili {nama, jabatan} ("Klinik" atau "Pengendali").
2. PT Digivana Solusi Digital, Infiniti Office, Menara Cakrawala, 12, Unit 05A, RT.2/RW.1, Kb. Sirih, Kec. Menteng, Kota Jakarta Pusat, Daerah Khusus Ibukota Jakarta 10340, diwakili {nama, jabatan} ("Digivana" atau "Prosesor").

1. Ruang lingkup

1. Digivana memproses data pribadi atas nama Klinik untuk menyediakan layanan Medivana (RME, front office, farmasi, kasir, klaim, akuntansi, SDM, CRM, integrasi, AI Assistant) sebagaimana dipesan.
2. Rincian pemrosesan ada di Lampiran A.
3. Klinik menjamin memiliki dasar pemrosesan yang sah (termasuk persetujuan pasien bila diperlukan) dan berwenang memberi instruksi.

2. Kewajiban Prosesor

Digivana wajib:

1. Memproses data hanya berdasarkan instruksi terdokumentasi Klinik (konfigurasi dan penggunaan aplikasi, Syarat Layanan, DPA ini, permintaan tertulis), dan memberi tahu bila instruksi dianggap melanggar hukum.
2. Menjaga kerahasiaan; personel yang berwenang terikat kewajiban kerahasiaan dan telah mendapat pelatihan.
3. Menerapkan langkah teknis dan organisasi dalam Lampiran B.
4. Tidak mengakses isi rekam medis kecuali (a) atas permintaan Klinik, atau (b) prosedur darurat (break-glass) untuk menangani insiden: baca-saja, berlaku 1 jam, beralasan, tercatat di audit log Klinik, dan diberitahukan kepada Klinik paling lambat 1 hari kerja.
5. Membantu Klinik memenuhi permintaan hak subjek data (akses, koreksi, ekspor, penarikan persetujuan) melalui fitur aplikasi dan dukungan tim.
6. Membantu Klinik dalam penilaian dampak pelindungan data (DPIA) dan konsultasi dengan otoritas bila diperlukan.
7. Menyimpan dan memproses data di pusat data di Indonesia.
8. Menyediakan informasi yang wajar untuk membuktikan kepatuhan, termasuk ringkasan hasil pentest dan audit, serta memungkinkan audit oleh Klinik atau auditor independen dengan pemberitahuan 30 hari, paling banyak sekali setahun kecuali setelah insiden [VERIFIKASI].

3. Subprosesor

1. Klinik memberi persetujuan umum atas subprosesor dalam Lampiran C.
2. Digivana memberi tahu perubahan subprosesor paling lambat 30 hari sebelumnya; Klinik dapat menyatakan keberatan beralasan dan, bila tidak ada solusi, mengakhiri layanan yang terdampak tanpa penalti.
3. Digivana memastikan subprosesor terikat kewajiban pelindungan data setara.

4. Transfer lintas negara

Data rekam medis dan identitas pasien disimpan di Indonesia. Pemrosesan oleh penyedia model AI hanya terhadap data yang telah diminimalkan dan disamarkan; bila penyedia memproses di luar Indonesia, Digivana memastikan pemenuhan persyaratan transfer lintas negara menurut UU 27/2022 dan peraturan pelaksananya [VERIFIKASI — hasil kajian CR-06 wajib ada sebelum fitur AI memproses data tenant produksi]. Klinik dapat menonaktifkan fitur AI yang memproses data pasien.

5. Kegagalan pelindungan data

1. Digivana memberi tahu Klinik tanpa penundaan yang tidak semestinya dan paling lambat 24 jam setelah mengetahui kegagalan pelindungan data yang memengaruhi data Klinik, dengan informasi yang tersedia (jenis data, perkiraan jumlah subjek, waktu, penyebab, tindakan penanganan), lalu memperbarui informasi secara berkala.
2. Hal ini untuk memungkinkan Klinik memenuhi kewajiban pemberitahuan tertulis kepada subjek data dan lembaga paling lambat 3×24 jam sebagaimana diatur UU 27/2022 [VERIFIKASI pasal dan isi pemberitahuan].
3. Digivana menyediakan draf pemberitahuan dan data pendukung.

6. Retensi, pengembalian, dan penghapusan

1. Selama berlangganan, Klinik dapat mengekspor seluruh data (FHIR JSON, CSV, laporan akuntansi) kapan saja.
2. Setelah berakhir, akun baca-saja selama {90} hari untuk ekspor; kemudian data dihapus dari sistem aktif dalam {30} hari dan dari backup mengikuti siklus retensi backup (maksimal {12} bulan), kecuali penyimpanan diwajibkan hukum. Digivana memberikan pernyataan tertulis penghapusan atas permintaan.
3. Klinik tetap bertanggung jawab memenuhi masa retensi rekam medis yang diwajibkan bagi fasyankes (Permenkes 24/2022 [VERIFIKASI]) dengan menyimpan hasil ekspor.

7. Tanggung jawab

Mengikuti Syarat Layanan, kecuali untuk pelanggaran kewajiban kerahasiaan dan pelindungan data yang disebabkan kelalaian Prosesor [VERIFIKASI batas tanggung jawab].

8. Jangka waktu

Berlaku sejak penandatanganan sampai seluruh data Klinik dikembalikan/dihapus sesuai Pasal 6.

---

Lampiran A — Rincian pemrosesan

Butir	Isi
Subjek data	Pasien (termasuk anak, melalui orang tua/wali), keluarga/penanggung pasien, tenaga kesehatan dan staf Klinik, supplier perorangan
Kategori data pribadi umum	Nama, NIK, nomor RM, tanggal lahir, jenis kelamin, alamat, telepon, nomor BPJS/polis, data keuangan transaksi, data kepegawaian
Kategori data pribadi spesifik	Data dan informasi kesehatan (anamnesis, diagnosis, tindakan, resep, hasil lab/radiologi, foto klinis, rekaman suara AI Scribe), data anak, data keuangan pribadi [VERIFIKASI klasifikasi UU PDP]
Kegiatan pemrosesan	Pengumpulan, penyimpanan, pengolahan, penampilan, pengiriman ke SATUSEHAT/BPJS atas instruksi, pencetakan, ekspor, penghapusan
Tujuan	Penyelenggaraan pelayanan kesehatan dan administrasi Klinik, kepatuhan pelaporan, penagihan, akuntansi
Lama	Selama berlangganan + Pasal 6
Lokasi	Pusat data di Indonesia (VPS Hostinger lokasi Indonesia; backup object storage Indonesia)

Lampiran B — Langkah keamanan teknis dan organisasi

• Enkripsi transit TLS 1.2+; HSTS.
• Enkripsi kolom identitas sensitif (NIK, telepon, nomor BPJS, kredensial integrasi) AES-256-GCM dengan kunci data per organisasi yang dibungkus master key di luar database; pencarian lewat blind index HMAC.
• Isolasi data per organisasi dengan PostgreSQL row-level security; role aplikasi tanpa hak melewati RLS.
• Autentikasi: password argon2id (minimal 12 karakter), 2FA TOTP wajib untuk Pemilik/Dokter/Keuangan, sesi httpOnly/Secure, pembatasan percobaan login; SSO untuk Enterprise.
• Otorisasi berbasis peran per aksi per cabang.
• Audit log append-only berantai hash untuk akses dan perubahan data sensitif.
• Koreksi rekam medis berversi tanpa menghapus versi sebelumnya; jurnal akuntansi immutable.
• Backup terenkripsi: base backup harian + arsip WAL ≤ 2 menit (RPO ≤ 5 menit), uji restore bulanan, RTO ≤ 4 jam.
• Hardening server, firewall, jaringan privat WireGuard untuk monitoring, pembaruan keamanan otomatis.
• Pemindaian kerentanan dependensi dan image di setiap perubahan; pentest eksternal sebelum launch dan tahunan.
• Log aplikasi tanpa isi rekam medis; pemantauan dan on-call 24/7; runbook insiden dan notifikasi.
• Lingkungan demo terpisah dari produksi.
• Akses staf Digivana ke data hanya melalui break-glass (Pasal 2.4).

Lampiran C — Subprosesor (per {tanggal})

Subprosesor	Layanan	Lokasi	Data
Hostinger (PT/entitas terkait) [VERIFIKASI entitas]	VPS (hosting aplikasi dan database)	Indonesia	Semua data Layanan
{Penyedia object storage Indonesia — keputusan terbuka}	Backup terenkripsi	Indonesia	Backup terenkripsi
Meta Platforms (WhatsApp Cloud API)	Pesan OTP, pengingat, broadcast	[VERIFIKASI lokasi]	Nomor telepon, isi pesan templat
{Xendit/Midtrans — keputusan terbuka}	Pembayaran	Indonesia	Data transaksi pembayaran
{Penyedia email transaksional}	Email	[VERIFIKASI]	Email, isi notifikasi
{Penyedia model AI — keputusan terbuka, CR-06}	AI Assistant, AI Scribe	[VERIFIKASI]	Teks/suara yang telah disamarkan
Cloudflare	DNS (dan proxy bila diaktifkan)	Global [VERIFIKASI]	Metadata lalu lintas