KEBIJAKAN PRIVASI
Disusun untuk penyelarasan dengan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi dan, sepanjang berlaku, Regulation (EU) 2016/679 (GDPR).
1. Pernyataan Privasi
PT Gajah Tunggal Tbk ("GT" atau "Perusahaan") berkomitmen melindungi Data Pribadi setiap orang yang berinteraksi dengan Perusahaan, termasuk karyawan, pelamar kerja, tenaga alih daya, pekerja kontrak, pelanggan, distributor, pemasok, kontraktor, konsultan, mitra bisnis, pengunjung, pemegang saham, pengguna situs web, serta individu lain yang relevan ("Subjek Data Pribadi").
Kebijakan ini menjelaskan bagaimana GT memperoleh, mengumpulkan, menggunakan, menganalisis, menyimpan, memperbaiki, memperbarui, menampilkan, mengungkapkan, mentransfer, menghapus dan/atau memusnahkan Data Pribadi dalam kegiatan usaha dan operasionalnya, termasuk kegiatan manufaktur, ketenagakerjaan, keselamatan dan keamanan, pengadaan, penjualan dan distribution, hubungan dengan pemasok dan pelanggan, sistem informasi, kunjungan fasilitas, serta kegiatan korporasi lainnya.
Kebijakan ini disusun dengan mengacu pada Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP"), peraturan pelaksana dan peraturan perundang-undangan lain yang berlaku, serta General Data Protection Regulation ("GDPR") sepanjang GDPR berlaku terhadap aktivitas pemrosesan GT.
2. Ruang Lingkup
Kebijakan ini berlaku terhadap pemrosesan Data Pribadi yang dilakukan oleh GT melalui sistem elektronik maupun non-elektronik. Bergantung pada konteks pemrosesan, GT dapat bertindak sebagai Pengendali Data Pribadi dan/atau Prosesor Data Pribadi. Dalam hubungan dengan pihak ketiga, peran dan tanggung jawab masing-masing pihak harus ditetapkan sesuai karakteristik pemrosesan dan ketentuan hukum yang berlaku.
3. Prinsip Pelindungan Data Pribadi
1. Pemrosesan dilakukan secara terbatas, spesifik, sah, adil, transparan, dan sesuai dengan tujuan yang telah ditentukan.
2. Pengumpulan Data Pribadi dilakukan secara memadai, relevan, dan tidak berlebihan sesuai tujuan pemrosesan.
3. Data Pribadi dijaga agar akurat, lengkap, tidak menyesatkan, mutakhir, dan dapat dipertanggungjawabkan.
4. GT menghormati dan memfasilitasi hak Subjek Data Pribadi sesuai hukum yang berlaku.
5. GT menerapkan langkah teknis dan organisasional yang sesuai untuk menjaga kerahasiaan, integritas, ketersediaan, dan keamanan Data Pribadi.
6. Data Pribadi disimpan hanya selama diperlukan untuk tujuan pemrosesan atau selama diwajibkan/diperbolehkan oleh hukum.
7. GT dapat menunjukkan kepatuhan dan pertanggungjawaban atas aktivitas pemrosesan Data Pribadi.
4. Kategori Subjek Data Pribadi
Subjek Data Pribadi dapat mencakup karyawan dan mantan karyawan, pelamar kerja, peserta magang/PKL, tenaga alih daya, personel vendor dan kontraktor, pelanggan, distributor, dealer, pemasok, konsultan, mitra bisnis, pengunjung fasilitas, peserta kegiatan, pemegang saham, kontak korporasi, pengguna situs web, dan individu lain yang berhubungan dengan kegiatan GT.
5. Jenis Data Pribadi yang Diproses
1. Data identitas dan kontak, seperti nama, alamat, nomor telepon, alamat email, tempat/tanggal lahir, kewarganegaraan, jenis kelamin, status perkawinan, foto, tanda tangan, dan data identitas resmi seperti KTP, paspor, KITAS/KITAP.
2. Data ketenagakerjaan dan profesional, termasuk riwayat pekerjaan, pendidikan, kompetensi, sertifikasi, evaluasi, jabatan, nomor induk karyawan, kehadiran, akses fasilitas, serta informasi administrasi ketenagakerjaan.
3. Data keuangan dan perpajakan, termasuk rekening bank, pembayaran, kompensasi, NPWP/TIN, transaksi, klaim, reimbursement dan informasi lain yang diperlukan untuk administrasi keuangan.
4. Data yang bersifat spesifik/sensitif apabila relevan dan diperbolehkan oleh hukum, termasuk data kesehatan, biometrik seperti sidik jari atau pengenalan wajah, catatan kejahatan/background verification, data anak, dan data keuangan pribadi.
5. Data keamanan fisik dan elektronik, termasuk CCTV, access control, visitor log, badge/ID access, catatan keamanan, alamat IP, device identifier, network/security logs, dan aktivitas penggunaan sistem perusahaan.
6. Data lain yang secara wajar diperlukan dan relevan dengan tujuan pemrosesan yang diinformasikan kepada Subjek Data Pribadi.
6. Sumber Data Pribadi
GT dapat memperoleh Data Pribadi langsung dari Subjek Data Pribadi maupun dari sumber lain yang sah, seperti perusahaan afiliasi, pemberi kerja/vendor, distributor, pelanggan, mitra bisnis, penyedia layanan, lembaga pemerintah, sumber publik, referensi profesional, sistem keamanan, atau pihak lain yang secara sah memberikan Data Pribadi kepada GT.
7. Tujuan Pemrosesan Data Pribadi
1. Mengelola hubungan ketenagakerjaan, rekrutmen, remunerasi, benefit, kompetensi, pelatihan, kesehatan dan keselamatan kerja, serta administrasi SDM.
2. Mengelola akses dan keamanan fasilitas, termasuk visitor management, CCTV, access control, investigasi keamanan, keselamatan, dan perlindungan aset.
3. Menjalankan proses pengadaan, vendor management, kontrak, evaluasi pemasok, pembayaran, dan hubungan komersial.
4. Menyelenggarakan penjualan, distribusi, layanan pelanggan, komunikasi bisnis, dan hubungan dengan pelanggan, distributor, dealer dan mitra.
5. Mengoperasikan dan mengamankan sistem informasi, jaringan, perangkat, aplikasi, layanan TI, backup, logging, monitoring dan penanganan insiden.
6. Memenuhi kewajiban hukum, perpajakan, ketenagakerjaan, keselamatan, audit, investigasi, regulator, perintah otoritas dan kepentingan hukum lainnya.
7. Menjalankan tata kelola perusahaan, audit internal/eksternal, manajemen risiko, kepatuhan, pelaporan, whistleblowing, pencegahan fraud dan penegakan kebijakan internal.
8. Melaksanakan komunikasi korporasi, kegiatan, CSR dan pemasaran apabila terdapat dasar hukum yang sesuai.
8. Dasar Hukum Pemrosesan
GT hanya memproses Data Pribadi apabila terdapat dasar pemrosesan yang sah. Dasar tersebut dapat mencakup persetujuan eksplisit yang sah; pelaksanaan atau persiapan perjanjian; pemenuhan kewajiban hukum; perlindungan kepentingan vital; pelaksanaan tugas untuk kepentingan umum atau kewenangan berdasarkan peraturan perundang-undangan apabila berlaku; dan/atau kepentingan sah lainnya dengan memperhatikan tujuan, kebutuhan dan keseimbangan kepentingan GT dan hak Subjek Data Pribadi.
Untuk pemrosesan yang tunduk pada GDPR, GT akan menentukan lawful basis sesuai Article 6 GDPR dan, apabila memproses special categories of personal data, memenuhi persyaratan tambahan yang relevan berdasarkan Article 9 GDPR.
9. Hak Subjek Data Pribadi
1. Memperoleh informasi mengenai identitas pihak yang memproses, dasar kepentingan hukum, tujuan pemrosesan dan akuntabilitas pemrosesan.
2. Meminta akses dan memperoleh salinan Data Pribadi sesuai ketentuan hukum.
3. Meminta pelengkapan, pembaruan dan/atau perbaikan Data Pribadi yang tidak akurat.
4. Menarik kembali persetujuan apabila pemrosesan didasarkan pada persetujuan.
5. Meminta pengakhiran pemrosesan, penghapusan atau pemusnahan Data Pribadi apabila memenuhi ketentuan hukum.
6. Meminta penundaan atau pembatasan pemrosesan secara proporsional sesuai ketentuan hukum.
7. Mengajukan keberatan terhadap keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk profiling, sesuai ketentuan hukum.
8. Memperoleh dan/atau memindahkan Data Pribadi (portabilitas) apabila hak tersebut berlaku dan persyaratan hukum terpenuhi.
9. Mengajukan keluhan, gugatan dan/atau meminta ganti rugi sesuai mekanisme dan ketentuan hukum yang berlaku.
Pelaksanaan suatu hak dapat dibatasi atau dikecualikan apabila diperbolehkan oleh hukum. GT dapat melakukan verifikasi identitas dan meminta informasi yang secara wajar diperlukan sebelum memproses permohonan hak.
10. Retensi, Penghapusan dan Pemusnahan
GT menyimpan Data Pribadi hanya selama diperlukan untuk mencapai tujuan pemrosesan, memenuhi kewajiban kontraktual, hukum, regulasi, audit, pembuktian, penyelesaian sengketa, atau kebutuhan bisnis yang sah. Jangka waktu retensi ditetapkan berdasarkan jenis data, tujuan pemrosesan, risiko, dan persyaratan hukum yang relevan.
Setelah masa retensi berakhir dan tidak terdapat dasar yang sah untuk penyimpanan lebih lanjut, Data Pribadi akan dihapus, dimusnahkan, dianonimkan, atau ditangani sesuai prosedur retensi dan pemusnahan GT.
11. Pengungkapan dan Pemrosesan oleh Pihak Ketiga
GT dapat mengungkapkan Data Pribadi kepada perusahaan afiliasi, penyedia layanan TI/cloud, bank, perusahaan asuransi, penyedia benefit, konsultan, auditor, lembaga sertifikasi, vendor, kontraktor, distributor, pelanggan, mitra bisnis, otoritas pemerintah, penegak hukum, regulator, atau pihak lain apabila diperlukan untuk tujuan pemrosesan dan terdapat dasar hukum yang sesuai.
Apabila pihak ketiga bertindak sebagai Prosesor Data Pribadi atas nama GT, GT akan menetapkan persyaratan perlindungan data, kerahasiaan, keamanan, penggunaan sub-prosesor, pengembalian/penghapusan data dan kewajiban lain yang relevan melalui pengaturan kontraktual dan mekanisme pengawasan yang sesuai.
12. Transfer Data Pribadi Lintas Batas
GT dapat melakukan transfer Data Pribadi ke luar wilayah Republik Indonesia apabila diperlukan untuk kegiatan bisnis, penggunaan sistem, layanan grup, penyedia layanan, pelanggan, pemasok, atau tujuan lain yang sah. Transfer tersebut akan dilakukan sesuai persyaratan UU PDP mengenai tingkat pelindungan yang setara atau lebih tinggi, pelindungan yang memadai dan mengikat, dan/atau persetujuan Subjek Data Pribadi apabila dipersyaratkan.
Apabila transfer Data Pribadi tunduk pada GDPR dan dilakukan ke negara di luar EEA, GT wajib memastikan adanya mekanisme transfer yang sah sesuai Chapter V GDPR. Mekanisme tersebut dapat berupa Adequacy Decision dari European Commission atau, apabila tidak tersedia, Appropriate Safeguards seperti Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR), atau mekanisme lain yang diakui GDPR. Apabila SCC digunakan, GT perlu melakukan Transfer Impact Assessment dan menerapkan supplementary measures apabila diperlukan untuk memastikan tingkat perlindungan Data Pribadi tetap memadai.
13. Keamanan Data Pribadi
GT menerapkan langkah teknis dan organisasional yang disesuaikan dengan risiko, termasuk pengendalian akses, prinsip least privilege, pengelolaan identitas dan autentikasi, keamanan jaringan dan endpoint, logging dan monitoring, backup dan recovery, perlindungan fisik, pengelolaan kerentanan, pengamanan pengembangan sistem, pengelolaan vendor, pelatihan dan awareness, serta prosedur respons insiden.
14. Kegagalan Pelindungan Data Pribadi
Apabila terjadi kegagalan pelindungan Data Pribadi, GT akan melakukan identifikasi, penanganan, mitigasi, dokumentasi dan pemberitahuan kepada Subjek Data Pribadi dan/atau otoritas yang berwenang sesuai persyaratan dan jangka waktu yang diwajibkan oleh hukum yang berlaku.
Untuk pemrosesan yang tunduk pada GDPR, penilaian dan pemberitahuan pelanggaran akan dilakukan sesuai Articles 33 dan 34 GDPR, termasuk pemberitahuan kepada supervisory authority tanpa penundaan yang tidak semestinya dan, apabila diwajibkan, kepada Data Subject.
15. Pemrosesan Otomatis dan Profiling
Apabila GT menggunakan pemrosesan otomatis atau profiling yang menghasilkan keputusan yang memiliki akibat hukum atau dampak signifikan terhadap individu, GT akan menerapkan perlindungan dan mekanisme hak Subjek Data Pribadi sesuai hukum yang berlaku. GT tidak menganggap bahwa seluruh penggunaan teknologi otomatis secara otomatis termasuk kategori tersebut.
16. Cookies dan Teknologi Serupa
Situs web atau layanan elektronik GT dapat menggunakan cookies atau teknologi serupa untuk fungsi teknis, keamanan, analitik, preferensi pengguna dan, apabila relevan, pemasaran. Informasi lebih rinci mengenai kategori cookies, tujuan, masa berlaku dan pilihan pengguna dapat ditetapkan dalam Cookie Notice terpisah.
17. Pemasaran dan Komunikasi
Apabila GT memproses Data Pribadi untuk pemasaran langsung, GT akan menggunakan dasar hukum yang sesuai dan menyediakan mekanisme untuk menarik persetujuan atau berhenti menerima komunikasi pemasaran apabila diwajibkan oleh hukum.
18. Data Protection Impact Assessment dan Privacy by Design
GT melakukan penilaian risiko privasi dan, apabila diwajibkan atau relevan berdasarkan tingkat risiko pemrosesan, Data Protection Impact Assessment (DPIA) sebelum melakukan pemrosesan yang berpotensi menimbulkan risiko tinggi terhadap Subjek Data Pribadi. Prinsip privacy by design dan privacy by default dipertimbangkan dalam pengembangan atau perubahan proses, sistem, teknologi, produk dan layanan yang memproses Data Pribadi.
19. Pejabat Pelindungan Data Pribadi
GT menetapkan pejabat atau fungsi yang bertanggung jawab atas pelindungan Data Pribadi apabila diwajibkan oleh peraturan perundang-undangan dan/atau berdasarkan kebutuhan tata kelola Perusahaan. Pertanyaan, permohonan hak, keluhan atau korespondensi mengenai privasi dapat disampaikan melalui kontak berikut: [email DPO]
20. Pembaruan Kebijakan
GT dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu untuk mencerminkan perubahan aktivitas pemrosesan, organisasi, teknologi, risiko, atau ketentuan hukum. Versi terbaru akan tersedia melalui kanal komunikasi resmi GT dan akan mencantumkan tanggal efektif atau tanggal pembaruan.