Struktur Pengelolaan Data Pribadi

Pendahuluan

PT Ardindo (selanjutnya disebut "Kami") menyusun dokumen Struktur Pengelolaan Data Pribadi ini sebagai pelengkap Kebijakan Privasi, untuk memberikan transparansi kepada Pengguna mengenai kerangka tata kelola, peran organisasi, alur pemrosesan, dan pengendalian akses atas Data Pribadi yang Kami olah pada platform pengadaan ardindo.com.

Dokumen ini disusun berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, serta Peraturan LKPP yang berlaku pada penyelenggaraan pengadaan barang/jasa pemerintah secara elektronik.

Struktur ini berlaku untuk dua jalur layanan yang dioperasikan oleh Platform:

• B2G — Jalur Pengadaan Pemerintah: transaksi antara instansi/lembaga pemerintah dengan Penyedia terverifikasi.
• B2B — Jalur Mitra ke Mitra: transaksi antar Mitra/Penyedia pada marketplace pengadaan.

Pasal 1 — Definisi

• "Pengendali Data Pribadi"
  adalah PT Ardindo selaku pihak yang menentukan tujuan dan kendali pemrosesan Data Pribadi pada Platform.
• "Prosesor Data Pribadi"
  adalah pihak ketiga yang melakukan pemrosesan Data Pribadi atas nama dan berdasarkan instruksi PT Ardindo.
• "Petugas Pelindungan Data Pribadi (DPO)"
  adalah pejabat yang ditunjuk PT Ardindo untuk mengawasi kepatuhan Platform terhadap UU PDP.
• "Subjek Data"
  adalah orang perseorangan yang Data Pribadinya diolah, termasuk pejabat pengadaan (PPK, PP, KPA, Pokja), perwakilan instansi, dan perwakilan Penyedia/Mitra.
• "Jalur B2G"
  adalah alur transaksi pengadaan dari instansi pemerintah kepada Penyedia melalui Platform.
• "Jalur B2B"
  adalah alur transaksi antara dua Mitra/Penyedia pada Platform di luar konteks pengadaan instansi.

Pasal 2 — Struktur Organisasi Pelindungan Data Pribadi

PT Ardindo membentuk struktur tata kelola berlapis yang memastikan akuntabilitas pemrosesan Data Pribadi pada seluruh tingkatan operasional Platform:

Pasal 3 — Peran dan Tanggung Jawab (Matriks RACI)

Matriks berikut menggambarkan pembagian peran atas aktivitas pemrosesan Data Pribadi di Platform Ardindo:

Pasal 4 — Klasifikasi Data Pribadi

PT Ardindo mengklasifikasikan Data Pribadi sesuai dengan Pasal 4 UU No. 27 Tahun 2022, yang membedakan antara Data Pribadi Umum dan Data Pribadi Spesifik:

Pasal 5 — Alur Pengelolaan Data: Jalur B2G (Pengadaan Pemerintah)

Pemrosesan Data Pribadi pada jalur pengadaan instansi pemerintah mengikuti alur tujuh tahap berikut:

• 1
  Pendaftaran Instansi & Pejabat

  Instansi mendaftarkan akun dengan menyertakan: nama instansi, NPWP instansi, SK pengangkatan PPK/PP/KPA, NIP, dan email resmi instansi (@*.go.id diutamakan).

  Pemroses: Tim Verifikasi & Onboarding · Dasar hukum: Persetujuan + Pelaksanaan Perjanjian
• 2
  Verifikasi Identitas Pejabat

  Verifikasi keabsahan SK, kecocokan NIP dengan jabatan, dan validasi email instansi melalui mekanisme email confirmation. Hasil verifikasi tercatat dalam audit log.
• 3
  Pembuatan RUP & Negosiasi

  Pejabat pengadaan menyusun Rencana Umum Pengadaan (RUP), memilih Penyedia, dan melakukan negosiasi harga melalui fitur chat terenkripsi. Seluruh percakapan negosiasi disimpan untuk keperluan audit.
• 4
  Checkout & Penerbitan Surat Pesanan

  Pengguna menyelesaikan transaksi, sistem menerbitkan Surat Pesanan elektronik dan menugaskan vendor. Data pengiriman dibagikan secara terbatas kepada mitra logistik.
• 5
  Pembayaran

  Pemrosesan pembayaran dilakukan melalui mitra perbankan tersertifikasi (Bank BRI, Bank BJB, mitra QRIS/VA). Data rekening diserahkan langsung kepada bank dan tidak disimpan dalam basis data Platform.
• 6
  BAST & TTE

  Setelah barang/jasa diterima, sistem menerbitkan Berita Acara Serah Terima (BAST) yang ditandatangani secara elektronik melalui penyelenggara TTE tersertifikasi (BSrE/PrivyID).
• 7
  Pelaporan, Arsip & Audit

  Seluruh dokumen transaksi diarsipkan minimum 10 (sepuluh) tahun untuk memenuhi ketentuan kearsipan dan perpajakan. Akses arsip terbatas pada auditor dan instansi terkait.

Pasal 6 — Alur Pengelolaan Data: Jalur B2B (Mitra ke Mitra)

Pada jalur B2B, Platform memfasilitasi transaksi antar Mitra/Penyedia tanpa keterlibatan instansi pemerintah. Alur pemrosesan data berbeda dari jalur B2G dalam hal verifikasi dan retensi:

Pasal 7 — Daftar Prosesor Data Pribadi (Pihak Ketiga)

Daftar mitra Prosesor Data yang Kami gunakan, beserta tujuan dan jenis data yang diproses:

Pasal 8 — Matriks Akses Data (Role-Based Access Control)

Akses terhadap Data Pribadi diatur berdasarkan prinsip least privilege dan need-to-know:

Pasal 9 — Siklus Hidup Data Pribadi

Setiap Data Pribadi mengikuti siklus hidup yang terdokumentasi dari pengumpulan hingga pemusnahan:

Pasal 10 — Pengawasan dan Audit

Untuk memastikan implementasi struktur ini berjalan efektif, PT Ardindo melakukan:

• Audit internal triwulanan oleh DPO atas log akses dan kepatuhan tim.
• Audit eksternal tahunan oleh auditor independen bersertifikasi.
• Penilaian Dampak Pelindungan Data (DPIA) untuk setiap fitur baru yang berpotensi memproses Data Pribadi dalam skala besar.
• Uji penetrasi (penetration test) minimum sekali setahun oleh pihak ketiga.
• Tinjauan manajemen oleh Direksi atas laporan kepatuhan setiap semester.

Pasal 11 — Pelatihan dan Kesadaran

Seluruh personel yang menangani Data Pribadi wajib mengikuti:

• Pelatihan dasar UU PDP saat onboarding personel baru.
• Refresher training tahunan terkait keamanan informasi dan etika data.
• Simulasi incident response minimum dua kali setahun.
• Penandatanganan Non-Disclosure Agreement sebagai syarat akses produksi.

Pasal 12 — Tinjauan dan Pembaruan Struktur

Dokumen ini ditinjau minimal satu kali setiap 12 (dua belas) bulan, atau sewaktu-waktu bila terjadi:

• Perubahan signifikan pada peraturan perundang-undangan terkait;
• Penambahan jenis layanan atau fitur Platform;
• Insiden keamanan yang memerlukan perubahan tata kelola;
• Perubahan struktur organisasi PT Ardindo.

Pasal 13 — Hubungi Kami

Untuk pertanyaan, klarifikasi, atau pelaporan terkait struktur tata kelola Data Pribadi ini, silakan menghubungi: