Record of Processing Activities (ROPA)

Merujuk pada Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi Pasal 31, GDPR Article 30 (Record of Processing Activities), ISO 27001:2022 Annex A.5.23

Riwayat Revisi

Filosofi CIRCCA

Katatan Aktivitas Pemrosesan Data (ROPA) kami didasarkan pada nilai-nilai inti CIRCCA:

• Curiosity: Proaktif memetakan dan memahami seluruh aktivitas pemrosesan data pribadi
• Impact: Dokumentasi ROPA yang akurat berdampak langsung pada kepatuhan UU PDP dan GDPR
• Respect: Menghormati hak privasi data subject melalui pencatatan yang transparan
• Courage: Berani mengidentifikasi dan menghentikan pemrosesan data yang tidak sesuai
• Commitment: Komitmen menjaga ROPA selalu akurat dan up-to-date
• Adaptability: Responsif terhadap perubahan proses bisnis dan regulasi privasi data

Ruang Lingkup

Definisi Istilah

Pernyataan Kebijakan

Divistant berkomitmen untuk mematuhi Undang-Undang No. 27 Tahun 2022 tentang Perlindungan Data Pribadi dan standar internasional seperti GDPR dalam mengelola data pribadi. Kami mengakui bahwa perlindungan data pribadi adalah hak fundamental dan tanggung jawab setiap organisasi.

Oleh karena itu, Divistant mewajibkan semua departemen untuk secara akurat dan lengkap mendokumentasikan setiap aktivitas pemrosesan data pribadi dalam Records of Processing Activities (ROPA). Dokumentasi ini bertujuan untuk memberikan transparansi, memfasilitasi kepatuhan regulasi, dan memastikan bahwa semua data pribadi diproses dengan aman dan sesuai dengan prinsip-prinsip perlindungan data yang berlaku.

Apa yang Harus Didokumentasikan

Kategori Data yang Harus Didokumentasikan:

1. Data Klien

   • Informasi kontak (nama, email, phone, alamat)
   • Data billing dan payment
   • Data project dan timeline
   • Feedback dan komunikasi

2. Data Karyawan

   • Data personal (nama, tanggal lahir, alamat, nomor identitas)
   • Data ketenagakerjaan (posisi, department, gaji, performance)
   • Data kesehatan dan asuransi
   • Data komunikasi internal

3. Data Vendor & Partner

   • Informasi kontak dan profile
   • Data kontrak dan payment
   • Data compliance dan assessment
   • Komunikasi bisnis

4. Data Prospek

   • Lead information (nama, email, company)
   • Marketing communication preferences
   • Interaction history
   • Assessment data

Informasi Minimum untuk Setiap Pemrosesan:

Inventori Pemrosesan Data

Template Inventori Proses Pemrosesan:

### [Nama Kegiatan]

**Departemen Pemilik**: [Department Name]  
**Owner/Manager**: [Name & Email]  
**Status**: [Active/Inactive]  
**Tanggal Dibuat**: [Date]  
**Tanggal Update Terakhir**: [Date]  

#### Deskripsi Proses
[Detailed description of the processing activity]

#### Data yang Diproses
- Kategori Data: [List all data types]
- Data Subject: [Who the data belongs to]
- Sensitivitas: [Normal/Sensitif/Sangat Sensitif]

#### Tujuan & Basis Hukum
- Tujuan Utama: [Primary purpose]
- Tujuan Sekunder: [Secondary uses if any]
- Basis Hukum: [Consent/Contract/Legal Obligation/Legitimate Interest]

#### Alur Pemrosesan
1. [Step 1]: [Description] - Responsible party
2. [Step 2]: [Description] - Responsible party
3. [Step 3]: [Description] - Responsible party

#### Sistem & Infrastruktur
- Sistem Utama: [System name]
- Lokasi Penyimpanan: [On-premise/Cloud/Hybrid]
- Cloud Provider: [AWS/Azure/Google/Other]
- Database/Tools: [Specific tools used]

#### Keamanan Data
- Enkripsi: [At rest/In transit/Both]
- Access Control: [Role-based access]
- Backup Frequency: [Daily/Weekly/Monthly]
- Disaster Recovery: [RTO/RPO]

#### Periode Retensi
- Durasi Penyimpanan: [How long]
- Alasan Retensi: [Why kept]
- Metode Penghapusan: [Deletion method]

#### Pihak Ketiga
- Vendor/Processor: [List]
- Purpose of Sharing: [Why shared]
- Data Protection Agreement: [Yes/No]

#### Pembaruan Terakhir
- Diperbarui oleh: [Name]
- Tanggal: [Date]
- Perubahan yang dilakukan: [Changes made]

Contoh Implementasi - HR Data Processing:

### Manajemen Data Karyawan (HR Management)

**Departemen Pemilik**: Human Resources  
**Owner**: HR Manager  
**Status**: Active  
**Tanggal Dibuat**: 2026-02-01  

#### Deskripsi Proses
Pengelolaan data karyawan Divistant untuk tujuan administrasi, payroll, compliance, dan employee management. Termasuk proses onboarding, attendance tracking, performance management, benefit administration, dan offboarding.

#### Data yang Diproses
- Nama, tanggal lahir, jenis kelamin, alamat, nomor identitas (KTP/SIM)
- Data ketenagakerjaan (posisi, department, hire date, salary, contract type)
- Data kesehatan (vaksinasi, medical checkup, asuransi)
- Data komunikasi (email perusahaan, nomor telepon)
- Data performa (evaluasi, training records, incident reports)
- Data keluarga (penerima tunjangan, contact emergency)
- Bank account untuk gaji
- Data absensi dan cuti

#### Tujuan & Basis Hukum
- Tujuan: Manajemen hubungan kerja, payroll, compliance dengan UU Ketenagakerjaan
- Basis Hukum: Kontrak kerja, kewajiban hukum (UU No. 13 Tahun 2003)

#### Alur Pemrosesan
1. **Rekrutmen & Onboarding**: Data dikumpulkan dari form aplikasi → diinput ke sistem BizOps → verifikasi dokumen
2. **Penyimpanan**: Data tersentralisasi di BizOps HR module dengan backup harian
3. **Penggunaan**: Access oleh HR staff untuk administrasi, approval manager untuk review
4. **Pelaporan**: Payroll generation, compliance reporting, analytics
5. **Offboarding**: Data diarsip, akses dihapus, data personal dihapus per periode retensi

#### Sistem & Infrastruktur
- Sistem Utama: BizOps (ERPNext) - HR Module
- Lokasi: On-premise server + cloud backup (AWS)
- Database: MySQL (BizOps) + AWS S3 untuk backup
- Akses: Role-based (HR Staff, Managers, Administrators)

#### Keamanan Data
- Enkripsi: Data at rest (database encryption), in transit (HTTPS)
- Access Control: RBAC dengan password-based authentication
- Backup: Harian dengan retention 90 hari
- DR: RTO 4 jam, RPO 1 jam

#### Periode Retensi
- Aktif Karyawan: Selama masa kontrak + 1 tahun setelah perpisahan
- Alasan: Compliance dengan UU Ketenagakerjaan No. 13 Tahun 2003
- Metode Penghapusan: Permanent deletion dari database, destruction physical dokumen

#### Pihak Ketiga
- Asuransi Kesehatan Provider (untuk data kesehatan)
- Bank (untuk payroll)
- Data Protection Agreement: Ada, melalui kontrak vendor

Tanggung Jawab Controller vs Processor

Divistant sebagai Data Controller:

Untuk data yang Divistant kumpulkan dan tentukan cara pengunaannya:

Divistant sebagai Data Processor:

Untuk data yang diproses atas permintaan klien (contoh: sistem yang kami develop untuk klien):

Jadwal Review dan Pembaruan

Review Schedule:

Proses Update ROPA:

1. Identifikasi Perubahan: Departemen melaporkan perubahan dalam pemrosesan data
2. Analisis Dampak: Legal & IT menilai dampak terhadap ROPA
3. Update Dokumentasi: Revisi ROPA dengan perubahan yang diperlukan
4. Approval: Kepala Legal & Compliance mengsetujui update
5. Komunikasi: Notifikasi kepada affected departments dan stakeholders
6. Dokumentasi Perubahan: Record tanggal, alasan, dan perubahan yang dilakukan

Template ROPA Lengkap

ROPA Master List Template:

Kepatuhan Regulasi

Kesesuaian dengan UU PDP No. 27 Tahun 2022:

• Pasal 31: Dokumentasi aktivitas pemrosesan data
• Pasal 32: Penerapan data protection by design and by default
• Pasal 39: Notifikasi pelanggaran data ke otoritas
• Pasal 40: Hak-hak data subject (akses, koreksi, penghapusan)

Kesesuaian dengan GDPR Article 30:

• ROPA mencakup semua informasi yang dipersyaratkan (data controller/processor, purposes, categories, retention, security)
• Records dipertahankan dalam format yang accessible untuk compliance demonstration
• Reviewed secara regular dan updated sesuai perubahan

Training & Awareness

Kebijakan Terkait

• Data Protection & Privacy Policy
• Information Security Policy
• Data Breach Notification & Incident Response Policy
• Vendor Data Processing Agreement (DPA)
• Employee Privacy & Monitoring Policy
• Client Data Handling Standard Operating Procedures

Kontak