Pemetaan Adendum Pemrosesan Data Google Cloud - Hukum Privasi Negara Bagian Amerika Serikat

Pembatasan dan Batasan Tujuan

Pengumpulan dan penggunaan informasi pribadi konsumen oleh bisnis harus dibatasi pada hal yang wajar dan diperlukan untuk mencapai tujuan pengumpulan atau pemrosesan informasi pribadi tersebut.

Pelanggan memutuskan informasi apa saja yang akan diberikan ke layanan dan layanan mana yang akan digunakan, cara menggunakannya, dan untuk tujuan apa. Google berkomitmen untuk hanya mengakses atau menggunakan data pelanggan untuk menyediakan, mengamankan, dan memantau layanan sesuai dengan persyaratan kontrak. 

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IN, MT, OR, TN, TX, VA

Referensi CDPA: Pasal 5.2 (Kepatuhan terhadap Petunjuk Pelanggan) dan Pasal 7.1.2 (Akses dan Kepatuhan) dari Persyaratan Umum CDPA.

Keamanan Data

Bisnis harus menetapkan, menerapkan, dan mempertahankan praktik keamanan data administratif, teknis, dan fisik yang memadai untuk melindungi kerahasiaan, integritas, dan aksesibilitas data pribadi.

Selain Tindakan Keamanan yang dijelaskan dalam Lampiran 2 CDPA, Google menyediakan fungsionalitas untuk memungkinkan pelanggan menerapkan tindakan pengamanan tambahan guna melindungi informasi pribadi, yang mungkin memerlukan konfigurasi fitur yang tepat di cloud di bawah pengelolaan pelanggan.

Google mengelola keamanan infrastrukturnya (misalnya, hardware, software, jaringan, dan fasilitas yang mendukung layanan). Google menyadari bahwa pelanggan perlu meninjau kontrol internal kami sebagai bagian dari penilaian risiko mereka. Oleh sebab itu, Google menjalani beberapa audit pihak ketiga yang independen setidaknya setiap tahun guna menyediakan verifikasi independen atas operasi dan kontrol internal kami. Google berkomitmen untuk mematuhi setidaknya standar internasional utama berikut selama jangka waktu kontrak kami dengan Anda:

• ISO/IEC 27001:2013 (Sistem Manajemen Keamanan Informasi)
• SOC 2
• SOC 3

Google juga memberikan informasi mendetail kepada pelanggan tentang praktik keamanan kami di:

• Halaman keamanan infrastruktur
• Laporan resmi keamanan
• Laporan resmi keamanan berbasis cloud
• Halaman ringkasan desain keamanan infrastruktur
• Halaman referensi keamanan
• Halaman referensi kepatuhan Cloud

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: Pasal 7.1 (Prosedur, Kontrol, dan Bantuan Keamanan Google), Pasal 7.3 (Penilaian dan Tanggung Jawab Keamanan Pelanggan), Pasal 7.4 (Sertifikasi Kepatuhan dan Laporan SOC) dari Persyaratan Umum, dan Lampiran 2 (Prosedur Keamanan) dari CDPA.

Diskriminasi karena Penggunaan Hak

Bisnis tidak boleh mendiskriminasi konsumen yang menjalankan haknya.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: T/A

Pemrosesan Diskriminatif

Bisnis tidak boleh memproses data pribadi yang melanggar hukum negara bagian dan federal yang melarang diskriminasi yang melanggar hukum terhadap konsumen.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CO, CT, DE, FL, IA, IN, MT, TN, TX, VA

Referensi CDPA: T/A 

Persetujuan Data Sensitif/Persyaratan Tidak Bersedia Memilih

Suatu bisnis tidak boleh memproses data sensitif yang berkaitan dengan konsumen tanpa mendapatkan izin dari konsumen tersebut atau, dalam kasus anak yang diketahui, sesuai dengan COPPA.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: T/A 

Kewajiban Izin Lainnya

Suatu bisnis tidak boleh menggunakan data yang dikumpulkan oleh perangkat (misalnya pengenalan suara atau wajah) untuk tujuan pengawasan tanpa izin.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: FL

Referensi CDPA: T/A 

Anak di Bawah Umur - Persetujuan untuk Penjualan/Berbagi/Iklan yang Ditargetkan

Suatu bisnis tidak boleh memproses data pribadi anak di bawah umur untuk iklan yang ditargetkan atau penjualan, tanpa izin.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CA, CT, MT, OR

Referensi CDPA: T/A 

Pemberitahuan saat Pengumpulan

Bisnis harus memberikan pemberitahuan kepada konsumen pada saat atau sebelum informasi pribadi dikumpulkan.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CA

Referensi CDPA: T/A 

Pemberitahuan Privasi

Bisnis harus memberikan pemberitahuan privasi kepada konsumen yang menjelaskan cara data pribadi mereka akan diproses dan hak konsumen mereka.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: T/A

Kewajiban Transparansi Lainnya

Informasi yang diungkapkan kepada konsumen harus dapat diakses dan dipahami.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CA, CO, FL

Referensi CDPA: T/A

Pengungkapan Penjualan dan Iklan yang Ditargetkan

Bisnis harus mengungkapkan penjualan informasi pribadi atau iklan yang ditargetkan dan menawarkan opsi untuk tidak ikut serta.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: T/A

Memproses Data yang Disamarkan dan Data Pseudonim

Bisnis yang menggunakan data yang disamarkan harus mengambil tindakan yang wajar untuk memastikan data tersebut tidak dapat dikaitkan dengan konsumen dan mewajibkan penerima data yang disamarkan tersebut untuk mematuhi kewajiban ini.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri. Google berkomitmen untuk hanya mengakses atau menggunakan data pelanggan guna menyediakan, mengamankan, dan memantau layanan sesuai dengan persyaratan kontrak.

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: Pasal 5.2 (Kepatuhan terhadap Petunjuk Pelanggan) dari Persyaratan Umum CDPA.

Penilaian Perlindungan Data

Suatu bisnis harus melakukan penilaian perlindungan data untuk aktivitas pemrosesan tertentu.

Google berkomitmen untuk memberikan kerja sama dan bantuan yang wajar kepada pelanggan dalam melakukan penilaian dampak perlindungan data mereka. Untuk Google Cloud Platform atau Layanan Google Workspace, lihat halaman referensi DPIA Google untuk mempelajari lebih lanjut apa itu DPIA, dan apakah Anda memerlukan DPIA untuk penggunaan layanan tersebut.

Negara Bagian yang Berlaku: CO, CT, DE, FL, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: Pasal 8 (Penilaian Dampak dan Konsultasi) dari Persyaratan Umum CDPA.

Pembatasan Penjualan Kembali Informasi Pribadi

Pihak ketiga tidak boleh menjual informasi pribadi yang dijual kepadanya oleh suatu bisnis.

Google tidak pernah menjual data pelanggan Anda. Google hanya akan mengakses atau menggunakan data pelanggan untuk menyediakan, mengamankan, dan memantau layanan sesuai dengan persyaratan kontrak.

Negara Bagian yang Berlaku: CA

Referensi CDPA: Pasal 5.2 (Kepatuhan terhadap Petunjuk Pelanggan) dari Persyaratan Umum CDPA.

Persyaratan Pelatihan & Pemeliharaan Arsip

Bisnis diwajibkan untuk melatih karyawan agar dapat menangani pertanyaan konsumen serta menyimpan arsip permintaan dan respons konsumen selama 24 bulan.

Hal ini merupakan tanggung jawab pelanggan berdasarkan operasi bisnisnya sendiri.

Negara Bagian yang Berlaku: CA

Referensi CDPA: Pasal 12.2 (Arsip Pemrosesan Google) dari Persyaratan Umum CDPA.

Persyaratan Kontrak untuk Semua Penjualan, Berbagi, atau Pengungkapan Informasi Pribadi kepada Penyedia Layanan atau Kontraktor

Bisnis yang menjual informasi pribadi konsumen harus membuat kontrak dengan pihak ketiga dengan persyaratan tertentu.

Google tidak membeli data pribadi pelanggan atau menjual data pribadi pelanggan kepada pihak ketiga mana pun. Google mewajibkan subkontraktor kami untuk memenuhi standar yang sama tingginya dengan yang kami terapkan. Secara khusus, Google mewajibkan subkontraktor untuk mematuhi kontrak kami dengan Anda dan hanya mengakses serta menggunakan data Anda sejauh yang diperlukan untuk melakukan kewajiban yang disubkontrakkan kepada mereka. Google tetap bertanggung jawab atas kewajiban yang disubkontrakkan.

Negara Bagian yang Berlaku: CA

Referensi CDPA: Pasal 11.3 (Persyaratan untuk Keterlibatan Subpemroses) dari Persyaratan Umum CDPA.

Status Pengontrol / Pemroses

Apakah suatu pihak adalah pengontrol atau pemroses sehubungan dengan pemrosesan data pribadi tertentu adalah penentuan berbasis fakta yang bergantung pada konteks pemrosesan data pribadi.

Untuk tujuan Google Cloud, Google bertindak sebagai pemroses data pribadi pelanggan. Pelanggan adalah pengontrol atau pemroses, sebagaimana berlaku.

Negara Bagian yang Berlaku: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: Pasal 4.1 (Peran Para Pihak) dari Persyaratan Umum CDPA.

Persyaratan Kontrak

Kontrak antara pengontrol dan pemroses akan mengatur prosedur pemrosesan data pemroses sehubungan dengan pemrosesan yang dilakukan atas nama pengontrol.

Kontrak pelanggan, yang mencakup Adendum Pemrosesan Data Cloud, mengatur prosedur pemrosesan data Google sehubungan dengan pemrosesan atas nama pelanggan.

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: Lampiran 1 (Materi Pokok dan Detail Pemrosesan Data) CDPA.

Batasan Penggunaan Data

Kontrak antara pengendali dan pemroses harus menetapkan petunjuk untuk memproses data, sifat dan tujuan pemrosesan, jenis data yang menjadi subjek pemrosesan, durasi pemrosesan, serta hak dan kewajiban kedua belah pihak.

Google berkomitmen untuk hanya memproses data pribadi pelanggan sesuai dengan CDPA termasuk Lampiran 1, yang menjelaskan materi pokok dan durasi pemrosesan, sifat dan tujuan pemrosesan, serta kategori data. 

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: Pasal 5.2 (Kepatuhan terhadap Petunjuk Pelanggan) dan Pasal 7.1.2 (Akses dan Kepatuhan) Persyaratan Umum, serta Lampiran 1 (Materi Pokok dan Detail Pemrosesan Data) CDPA.

Menerapkan Kewajiban Kerahasiaan kepada Karyawan

Kontrak antara pengendali dan pemroses akan memastikan bahwa setiap orang yang memproses data pribadi tunduk pada kewajiban kerahasiaan.

Pelanggan dapat mengakses data mereka (termasuk data pengguna akhir) di Google Cloud kapan saja. Jika Google menerima permintaan dari seseorang (misalnya, pengguna akhir pelanggan) terkait data pribadi pelanggan, tim privasi kami akan memberikan saran kepada pemohon untuk mengirimkan permintaan tersebut kepada Anda, pelanggan Google Cloud. Pelanggan Google Cloud kemudian dapat mengambil alih untuk merespons permintaan ini sesuai persyaratan dan prosedur internal mereka.

Negara Bagian yang Berlaku: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Referensi CDPA: Pasal 7.1.2 (Akses dan Kepatuhan) dalam Persyaratan Umum, dan Pasal 4 (Keamanan Personel) dalam Lampiran 2 (Prosedur Keamanan) CDPA.

Persyaratan Audit

Kontrak antara pengendali dan pemroses akan memastikan bahwa pemroses memberikan informasi kepada bisnis untuk menunjukkan kepatuhan terhadap kewajiban pemroses, jika diminta, dan menjalani audit independen setiap tahun menggunakan kerangka kerja kontrol yang diakui.

Google mendukung kepatuhan pelanggan dengan menyediakan dokumentasi keamanan yang relevan untuk ditinjau pelanggan dan menjalani beberapa audit pihak ketiga yang independen setidaknya setiap tahun guna memberikan verifikasi independen atas operasi dan kontrol internal kami. Halaman Pengelola Laporan Kepatuhan Google menyediakan akses yang mudah dan sesuai permintaan ke berbagai referensi kepatuhan yang penting ini, tanpa biaya tambahan. Referensi utama kami meliputi sertifikat ISO/IEC, laporan SOC, dan penilaian mandiri terbaru.

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Referensi CDPA: Pasal 7.4 (Sertifikasi Kepatuhan dan Laporan SOC) dan Pasal 7.5 (Peninjauan dan Audit Kepatuhan) dari Persyaratan Umum CDPA.

Membantu dengan Kewajiban Pengontrol

Pemroses akan mematuhi petunjuk bisnis dan membantu bisnis dengan: mempertimbangkan sifat pemrosesan dan informasi yang tersedia untuk pemroses, menanggapi permintaan hak konsumen.

Google berkomitmen untuk membantu pelanggan terkait permintaan konsumen dalam Pasal 9 Persyaratan Umum CDPA.

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Referensi CDPA: Lihat respons di bagian Hak Konsumen dan Tanggung Jawab Bisnis / Pengontrol, di atas. Pasal 9 (Akses; Hak Subjek Data; Ekspor Data) dan Pasal 9.2.2 (Bantuan Permintaan Subjek Data Google) dari Persyaratan Umum CDPA.

Membantu dengan Kewajiban Pengontrol

Pemroses harus mematuhi petunjuk bisnis dan membantu bisnis dengan: mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi pemroses, memenuhi kewajibannya sehubungan dengan keamanan pemrosesan data pribadi, dan terkait notifikasi pelanggaran keamanan.

Google menerapkan dan memelihara langkah-langkah teknis, organisasi, dan fisik untuk melindungi data pelanggan dari pengungkapan atau akses yang tidak sah. Google memberikan notifikasi dan detail tentang insiden data kepada pelanggan dengan segera dan tanpa penundaan yang tidak semestinya. Google juga menyediakan kontrol keamanan tambahan untuk pelanggan. 

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TX, UT, VA

Referensi CDPA: Pasal 7.1 (Prosedur, Kontrol, dan Bantuan Keamanan Google), Pasal 7.1.4 (Bantuan Keamanan Google), Pasal 7.2 (Insiden Data), Pasal 7.2.1 (Notifikasi Insiden), dan Pasal 7.3 (Tanggung Jawab dan Penilaian Keamanan Pelanggan) dalam Persyaratan Umum, serta Lampiran 2 (Prosedur Keamanan) CDPA.

Membantu Memenuhi Kewajiban Pengontrol

Dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi pemroses, pemroses akan mematuhi petunjuk bisnis dan membantu bisnis dengan: memberikan informasi yang diperlukan untuk melakukan penilaian perlindungan data.

Google berkomitmen untuk membantu pelanggan dalam melakukan penilaian perlindungan data di Pasal 8 Persyaratan Umum CDPA. Selain itu, untuk Google Cloud Platform dan Google Workspace, Google mengelola DPIA Resource Center untuk membantu pelanggan.

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IN, MT, OR, TX, VA

Referensi CDPA: Pasal 8 (Penilaian Dampak dan Konsultasi) dari Persyaratan Umum CDPA.

Hak Penolakan Subkontraktor

Subkontraktor yang menangani data pribadi tidak dapat dilibatkan kecuali jika bisnis memiliki kesempatan untuk menolak.

Google memberikan pemberitahuan kepada pelanggan yang mencakup informasi tentang keterlibatan subpemroses baru dan kesempatan untuk mengajukan keberatan dengan mengakhiri perjanjian demi kenyamanan pelanggan. Mengingat sifat layanan kami yang one-to-many, Google tidak dapat mengoperasionalkan proses persetujuan untuk setiap pelanggan. Google mewajibkan subkontraktor kami untuk memenuhi standar yang sama tingginya dengan yang kami terapkan, dan Google tetap bertanggung jawab atas setiap kewajiban subkontrak. Secara khusus, Google mewajibkan subkontraktor untuk mematuhi kontrak kami dengan Anda dan hanya mengakses serta menggunakan data Anda sejauh yang diperlukan untuk melakukan kewajiban yang disubkontrakkan kepada mereka.

Negara Bagian yang Berlaku: CO, CT, DE 

Referensi CDPA: Pasal 11.1 (Izin untuk Keterlibatan Subpemroses), Pasal 11.3 (Persyaratan untuk Keterlibatan Subpemroses), dan Pasal 11.4 (Kesempatan untuk Menolak Subpemroses) dari Persyaratan Umum CDPA.

Menghapus atau Mengembalikan Data setelah Penghentian / Selesainya Layanan

Kontrak antara pengendali dan pemroses akan memastikan bahwa pemroses mengembalikan atau menghancurkan semua data pribadi pelanggan pada akhir penyediaan layanan.

Google akan menghapus semua data pelanggan (termasuk data pribadi pelanggan) pada akhir jangka waktu sesuai dengan hukum yang berlaku dan dalam periode maksimum 180 hari. Detail tambahan tentang proses dan komitmen penghapusan data Google dapat ditemukan di dokumentasi CDPA dan Penghapusan Data di Google Cloud.

Negara Bagian yang Berlaku: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Referensi CDPA: Pasal 6.1 (Penghapusan oleh Pelanggan) dan Pasal 6.2 (Pengembalian atau Penghapusan Saat Jangka Waktu Berakhir) dari Persyaratan Umum CDPA.

Memberi tahu Pengontrol jika Kewajiban tidak dapat dipenuhi lagi

Pemroses harus memberi tahu bisnis jika pemroses menentukan bahwa pemroses tidak dapat lagi memenuhi kewajibannya berdasarkan CCPA.

Google akan memberi tahu pelanggan jika Google tidak dapat memenuhi kewajibannya berdasarkan CCPA, kecuali jika pemberitahuan tersebut dilarang oleh hukum yang berlaku.

Negara yang Berlaku: CA

Referensi CDPA: Bagian 3 (Kepatuhan) dari subbagian CCPA di Lampiran 3 (Hukum Privasi Spesifik) CDPA.