Ketentuan Kepatuhan
& Kerangka Kerja
Kami beroperasi di bawah kerangka kepatuhan yang ketat yang mencakup perlindungan data, regulasi industri, dan standar internasional. Berikut komitmen kami kepada Anda dan apa yang kami butuhkan dari Anda sebagai gantinya.
Ruang Lingkup & Tujuan
Ketentuan Kepatuhan ini (“Ketentuan Kepatuhan”) merupakan bagian tak terpisahkan dari perjanjian antara Exponent Solutions Pvt. Ltd. (“Exponent”) dan kliennya. Ketentuan ini menetapkan kewajiban kepatuhan regulasi, kerangka kerja, dan tanggung jawab yang mengatur penyampaian layanan Exponent.
Ketentuan ini berlaku untuk semua kerja sama layanan yang melibatkan pemrosesan data, infrastruktur cloud, pengembangan perangkat lunak, implementasi AI/ML, dan layanan terkelola. Kedua pihak mengakui bahwa kepatuhan adalah kewajiban berkelanjutan, bukan peristiwa sertifikasi satu kali.
Tujuan Ketentuan Ini
Kerangka Kerja Kepatuhan
Program kepatuhan Exponent dibangun di atas kerangka kerja yang diakui secara internasional dan diverifikasi secara independen melalui audit pihak ketiga. Sertifikasi dan postur kepatuhan aktif kami meliputi:
SOC 2 Type II
Kriteria Layanan Kepercayaan AICPA
Audit tahunan yang mencakup kriteria layanan kepercayaan Keamanan, Ketersediaan, Integritas Pemrosesan, Kerahasiaan, dan Privasi. Laporan tersedia bagi klien berdasarkan NDA.
ISO 27001:2022
Manajemen Keamanan Informasi
Sertifikasi ISMS penuh yang mencakup kebijakan keamanan informasi, manajemen risiko, manajemen aset, kontrol akses, dan proses manajemen insiden.
PCI DSS Level 1
Standar Industri Kartu Pembayaran
Kepatuhan PCI DSS tingkat tertinggi untuk layanan yang melibatkan pemrosesan, penyimpanan, atau transmisi data kartu pembayaran atas nama klien jasa keuangan.
Kesiapan HIPAA
Undang-Undang Portabilitas Asuransi Kesehatan
Infrastruktur dan proses siap HIPAA untuk klien layanan kesehatan. BAA (Business Associate Agreement) tersedia untuk semua kerja sama yang melibatkan Informasi Kesehatan yang Dilindungi.
GDPR & PDPA
Perlindungan Data UE & India
Kepatuhan penuh GDPR untuk subjek data UE dan kepatuhan Undang-Undang Perlindungan Data Pribadi Digital (PDPA) 2023 untuk subjek data India. DPA tersedia atas permintaan.
ISO 9001:2015
Sistem Manajemen Mutu
Sertifikasi manajemen mutu yang menjamin proses penyampaian layanan yang konsisten, pengukuran kepuasan pelanggan, dan praktik perbaikan berkelanjutan.
Undang-Undang Privasi Data
Exponent memproses data pribadi sebagai pemroses data atas nama kliennya. Kewajiban kami berdasarkan undang-undang perlindungan data yang berlaku diformalkan melalui Perjanjian Pemrosesan Data (DPA) yang dapat ditandatangani bersama perjanjian layanan Anda.
Regulasi Perlindungan Data Umum (GDPR)
Kami bertindak sebagai pemroses data berdasarkan Pasal 28 GDPR. Klausul Kontrak Standar (SCC) ditandatangani untuk semua transfer data internasional. Permintaan hak subjek data dipenuhi dalam 30 hari. DPA wajib untuk semua kerja sama dengan klien UE.
Undang-Undang Perlindungan Data Pribadi Digital 2023 (DPDPA)
Exponent mematuhi semua kewajiban yang berlaku bagi Data Fiduciary dan Pemroses Data berdasarkan DPDPA. Kami menyimpan catatan aktivitas pemrosesan dan menerapkan langkah teknis dan organisasi yang sesuai sebagaimana disyaratkan.
CCPA / Undang-Undang Privasi Negara Bagian
Untuk klien yang memiliki data penduduk California, kami mematuhi persyaratan CCPA/CPRA sebagai Penyedia Layanan. Kami tidak menjual informasi pribadi dan menyediakan ketentuan kontrak yang membatasi penggunaan data pribadi oleh kami.
Perlindungan Transfer Data Lintas Batas
Semua transfer data internasional diatur oleh mekanisme transfer yang sesuai termasuk SCC, Binding Corporate Rules, atau keputusan kecukupan. Klien diberi tahu opsi lokasi penyimpanan data sebelum layanan dimulai.
Tanggung Jawab Bersama
Kepatuhan dalam model layanan bersama memerlukan pembagian tanggung jawab yang jelas. Matriks berikut menetapkan pihak yang bertanggung jawab utama atas setiap aktivitas kepatuhan:
| Aktivitas Kepatuhan | Exponent | Klien | Bersama |
|---|---|---|---|
| Kontrol keamanan infrastruktur | UTAMA | — | — |
| Klasifikasi data sebelum diserap | — | UTAMA | — |
| Pelaporan regulasi kepada otoritas | — | UTAMA | — |
| Manajemen akses pengguna akhir | — | UTAMA | — |
| Pemenuhan hak subjek data | Peran pendukung | UTAMA | — |
| Pemberitahuan kebocoran (kepada regulator) | Peran pendukung | UTAMA | — |
| Pemberitahuan kebocoran (kepada Exponent) | — | UTAMA | — |
| Manajemen risiko vendor | — | — | BERSAMA |
| Pelatihan kepatuhan karyawan | — | — | BERSAMA |
| Fasilitasi audit & bukti | — | — | BERSAMA |
| Keamanan platform & aplikasi | UTAMA | — | — |
| Keamanan perangkat sisi klien | — | UTAMA | — |
Penting: Klien sebagai Pengendali Data
Regulasi Industri
Untuk klien di industri yang diatur, Exponent mempertahankan postur kepatuhan tambahan yang selaras dengan persyaratan sektor tertentu. Postur ini diaktifkan sesuai sifat kerja sama Anda:
🏭 Postur Kepatuhan Khusus Industri
Jasa Keuangan
Kerangka TI RBI, pedoman SEBI, dukungan kontrol Basel III, standar integrasi AML/KYC, dan PCI DSS untuk pemrosesan pembayaran.
Layanan Kesehatan
BAA HIPAA/HITECH tersedia, interoperabilitas HL7 FHIR R4, standar keamanan data klinis, dan dukungan untuk kerangka kesehatan digital NABH.
Pemerintah & Sektor Publik
Kepatuhan kebijakan cloud MEITY, standar keamanan NIC, keselarasan dengan pengadaan GeM, dan dukungan untuk persyaratan kerangka GovStack.
Ritel & E-commerce
Kepatuhan Undang-Undang Perlindungan Konsumen 2019, kepatuhan aturan e-commerce, PCI DSS untuk pemrosesan pembayaran, dan dukungan lokalisasi data.
Manufaktur
Kepatuhan keamanan siber OT, pemahaman standar IEC 62443, penanganan data keselamatan produk, dan dokumentasi kepatuhan rantai pasok.
Telekomunikasi & Teknologi
Pemahaman regulasi TRAI, kepatuhan UU TI 2000, kepatuhan CERT-In termasuk pelaporan insiden dalam 6 jam sesuai mandat.
Pelaporan Kepatuhan
Exponent menyediakan dokumentasi dan bukti yang dibutuhkan klien untuk mendukung program kepatuhan, audit regulasi, dan persyaratan uji tuntas mereka.
- ✓Laporan SOC 2 Type II tersedia berdasarkan NDA atas permintaan tertulis
- ✓Sertifikat ISO 27001 dapat diunduh dari portal kepatuhan kami
- ✓Surat ringkasan kepatuhan tahunan diberikan kepada klien Enterprise setiap Januari
- ✓Ringkasan eksekutif uji penetrasi tersedia bagi klien atas permintaan
- ✓Daftar sub-pemroses dipelihara dan diperbarui dengan pemberitahuan 30 hari sebelum perubahan
- ✓Dukungan Penilaian Dampak Perlindungan Data (DPIA) tersedia untuk aktivitas pemrosesan berisiko tinggi
- ✓Laporan insiden CERT-In diajukan dalam 6 jam untuk insiden yang relevan sesuai regulasi India
Akses Portal Kepatuhan
Protokol Pelanggaran & Kebocoran
Jika terjadi pelanggaran kepatuhan — baik kebocoran data, ketidaksesuaian regulasi, maupun pelanggaran kebijakan — kedua pihak wajib mengikuti protokol pemberitahuan dan remediasi di bawah ini.
Kewajiban Exponent saat menemukan pelanggaran kepatuhan:
- ✓Memberi tahu Klien dalam 72 jam sejak mengetahui kebocoran data pribadi apa pun yang memengaruhi Data Klien
- ✓Memberikan penilaian awal insiden termasuk ruang lingkup, kategori data yang terdampak, dan perkiraan jumlah individu
- ✓Memberikan kerja sama dan bantuan yang wajar kepada Klien untuk pemberitahuan regulasi Klien sendiri
- ✓Menerapkan langkah penahanan dan mendokumentasikan langkah remediasi yang diambil
- ✓Menyerahkan laporan pasca-insiden lengkap dalam 15 hari kerja setelah insiden ditutup
Kewajiban Klien saat menemukan masalah kepatuhan:
- ✓Memberi tahu Exponent dalam 24 jam sejak menemukan potensi kebocoran atau masalah kepatuhan yang melibatkan sistem Exponent
- ✓Bekerja sama sepenuhnya dalam investigasi Exponent dan tidak mengambil tindakan remediasi sepihak di lingkungan yang dikelola Exponent
- ✓Menunjuk penasihat hukum independen untuk keputusan pemberitahuan regulasi — Exponent tidak dapat memberikan nasihat hukum
Pelaporan Wajib CERT-In
Kepatuhan Sub-Pemroses
Semua sub-pemroses yang dilibatkan Exponent untuk memproses Data Klien tunduk pada kewajiban kepatuhan yang sama dengan Exponent berdasarkan ketentuan ini. Exponent memiliki program manajemen sub-pemroses formal yang mencakup:
- ✓Penilaian kepatuhan sebelum kerja sama untuk semua sub-pemroses baru yang menangani Data Klien
- ✓Penilaian ulang kepatuhan tahunan untuk semua sub-pemroses aktif
- ✓Perjanjian Pemrosesan Data dengan semua sub-pemroses yang memuat perlindungan setara dengan DPA Klien
- ✓Hak kontraktual untuk mengaudit sub-pemroses jika diwajibkan oleh regulasi yang berlaku
- ✓Pemberitahuan 30 hari sebelumnya kepada Klien sebelum melibatkan sub-pemroses baru yang memiliki akses ke data mereka
Perubahan Regulasi
Lanskap regulasi terus berkembang. Exponent memiliki proses manajemen perubahan regulasi untuk memantau, menilai, dan merespons undang-undang, standar, dan pedoman baru maupun yang diperbarui yang memengaruhi layanan kami.
Jika terjadi perubahan regulasi material yang memengaruhi kewajiban Klien atau penyampaian layanan Exponent, Exponent akan memberi tahu klien yang terdampak dalam 30 hari sejak perubahan berlaku (atau sesegera mungkin jika perubahan berlaku seketika). Exponent akan memberikan panduan yang wajar tentang dampaknya terhadap layanan Anda tetapi tidak dapat memberikan nasihat hukum — konsultasikan perubahan regulasi yang memengaruhi bisnis Anda dengan penasihat hukum Anda.
Kontak Kepatuhan
Untuk semua pertanyaan terkait kepatuhan, permintaan dokumentasi audit, penandatanganan DPA, atau pertanyaan regulasi terkait layanan Exponent, silakan gunakan kontak berikut:
Tim Kepatuhan
Untuk laporan audit, DPA, sertifikasi
compliance@exponentsolutions.ai Respons dalam 5 hari kerja
Tim Hukum
Untuk ketentuan kontrak, negosiasi DPA
legal@exponentsolutions.ai Respons dalam 5 hari kerja
Petugas Perlindungan Data
Untuk hak subjek data, pertanyaan GDPR
dpo@exponentsolutions.ai Respons dalam 5 hari kerja
Hotline Insiden
Untuk kebocoran atau insiden yang sedang berlangsung
security@exponentsolutions.ai +91 01234 4333534 (24/7)
Petugas Perlindungan Data kami yang terdaftar untuk keperluan GDPR: compliance@exponentsolutions.ai. Alamat terdaftar: A-33, Raheja Vedaanta, Sector 108, Gurugram, Haryana 122017, India.
Butuh Dokumentasi Kepatuhan?
Minta laporan SOC 2, sertifikat ISO, templat DPA, dan jawaban kuesioner kepatuhan kami — tim kami akan merespons dalam 5 hari kerja.