Adendum Privasi Undang-Undang Negara Bagian AS

Mulai Berlaku: 30 Desember 2022

Adendum Privasi Undang-Undang Negara Bagian AS (“Adendum”) ini melengkapi ketentuan Perjanjian Langganan Utama, Ketentuan Layanan, atau Ketentuan Layanan Pelanggan Pengecer Anda (sebagaimana berlaku, “Perjanjian”), serta menetapkan hak dan kewajiban privasi data tertentu sehubungan dengan Undang-Undang negara bagian AS tertentu. Istilah-istilah dengan huruf kapital yang digunakan, tetapi tidak didefinisikan di sini memiliki arti sebagaimana ditetapkan untuk istilah-istilah tersebut dalam Perjanjian.

Bagian A – Ketentuan Umum. Bagian A dari Adendum ini berlaku untuk penyediaan Layanan oleh Zoom dan penggunaan Layanan oleh Pelanggan sejauh Pelanggan adalah Bisnis atau Pengontrol dan Zoom Memproses Informasi Pribadi atau Data Pribadi Pelanggan sesuai dengan CCPA atau Undang-Undang Perlindungan Data Negara Bagian yang Berlaku lainnya

.
  1. Definisi. Sebagaimana digunakan di seluruh Adendum ini, "Pelanggan" berarti Bisnis atau Pengontrol yang berlangganan Layanan Zoom. Istilah-istilah dengan huruf kapital yang digunakan dalam Bagian A ini, tetapi tidak didefinisikan, memiliki arti sebagaimana ditetapkan dalam Bagian B(1) dan C(1) di bawah ini.

  2. Audit dan Penilaian.
    1. Zoom akan melakukan audit pihak ketiga untuk membuktikan kerangka kerja ISO 27001 dan SOC 2 Type II sebagai berikut:

      1. Setiap tahun, Zoom akan mengaudit Kriteria Keamanan, Ketersediaan, dan Privasi dalam audit SOC-2.

      2. Audit akan dilakukan sesuai dengan standar dan aturan badan pengatur atau akreditasi untuk standar atau kerangka kontrol yang berlaku.

      3. Audit akan dilakukan oleh auditor keamanan pihak ketiga yang berkualifikasi dan independen, dengan pilihan dan biaya dari Zoom.

      4. Setiap audit akan menghasilkan laporan audit langsung kepada pelanggan (“Laporan Audit Zoom”), yang akan disediakan oleh Zoom untuk Pelanggan atas permintaan setiap tahun. Laporan Audit Zoom akan menjadi Informasi Rahasia Zoom.

  3. Pembatasan Penerimaan Informasi. Tidak ada dalam Adendum ini yang mewajibkan Zoom untuk mengungkapkan: (a) data atau informasi apa pun dari pelanggan Zoom lainnya, atau pihak ketiga mana pun; (b) setiap informasi akuntansi atau keuangan internal; (c) setiap rahasia dagang Zoom; atau (d) setiap informasi yang, menurut pertimbangan wajar Zoom dapat: (i) membahayakan keamanan jaringan, sistem, atau lokasi Zoom; (ii) menyebabkan Zoom melanggar kewajiban keamanan atau privasinya kepada pihak ketiga mana pun; atau (iii) mengungkapkan informasi apa pun yang diperoleh untuk alasan apa pun selain alasan yang diuraikan dalam Adendum ini. Zoom dapat meminta persetujuan Pelanggan terhadap syarat dan ketentuan yang wajar dari Zoom (atau auditor atau penilai pihak ketiga Zoom) sebelum menyediakan Laporan Audit Zoom kepada Pelanggan.

  4. Penghapusan Data. Zoom akan (a) sebagaimana diwajibkan oleh Undang-Undang Perlindungan Data Negara Bagian yang Berlaku untuk Pelanggan dan atas arahan Pelanggan, menghapus atau mengembalikan semua Data Pribadi kepada Pelanggan pada akhir penyediaan Layanan atau (b) sebagaimana diwajibkan oleh CCPA, tidak menyimpan, menggunakan, atau mengungkapkan Informasi Pribadi setelah penghentian atau berakhirnya hubungan antara Pelanggan dan Zoom. Tidak ada dalam Bagian A(4) (Penghapusan Data) ini yang akan mewajibkan Zoom untuk (i) menghapus atau mengembalikan data yang harus disimpan sesuai dengan Hukum yang berlaku atau (ii) mengembalikan alih-alih menghancurkan Data Pribadi sejauh pengembalian secara teknis tidak memungkinkan, atau pengembalian akan menimbulkan beban besar, biaya, atau keduanya pada Zoom.

Bagian B – California. Bagian B dari Adendum ini berlaku untuk penyediaan Layanan oleh Zoom dan penggunaan Layanan oleh Pelanggan sejauh Pelanggan adalah Bisnis dan Zoom Memproses Informasi Pribadi atas nama Pelanggan sesuai dengan CCPA.

  1. Definisi. Sebagaimana digunakan dalam Bagian B dari Adendum ini: (a) “CCPA” berarti Undang-Undang Privasi Konsumen California tahun 2018, sebagaimana diubah oleh Undang-Undang Hak Privasi California tahun 2020, dan peraturan apa pun yang diumumkan di bawahnya; (b) “Bisnis”, “Tujuan Bisnis”, “Tujuan Komersial”, “Konsumen”, “Pemrosesan”, “Penjualan”, “Penyedia Layanan”, dan “Berbagi” memiliki arti masing-masing yang diberikan dalam CCPA; dan (c) “Informasi pribadi” berarti “Informasi pribadi” sebagaimana didefinisikan dalam CCPA, tetapi hanya sejauh informasi pribadi tersebut dikumpulkan, diakses, diperoleh, diterima, digunakan, diungkapkan, atau diproses oleh Zoom sebagai hasil dari penyediaan Layanan Zoom kepada Pelanggan dalam kapasitasnya sebagai Bisnis berdasarkan Perjanjian.

  2. Pengakuan dan Kewajiban. Zoom (a) mengetahui bahwa Informasi Pribadi diungkapkan oleh Pelanggan hanya untuk tujuan terbatas dan tertentu dari penyediaan Layanan yang dijelaskan dalam Formulir Pemesanan dan untuk tujuan yang dijelaskan dalam Perjanjian; (b) akan mematuhi kewajiban yang berlaku untuk Penyedia Layanan berdasarkan CCPA dan akan memberikan tingkat perlindungan privasi yang sama untuk Informasi Pribadi sebagaimana diwajibkan oleh CCPA, termasuk perlindungan privasi yang sama yang harus disediakan oleh Bisnis; (c) setuju bahwa Pelanggan dapat mengambil langkah-langkah yang wajar dan tepat sesuai dengan Bagian A(2) di sini untuk membantu memastikan bahwa penggunaan Informasi Pribadi Zoom konsisten dengan kewajiban Pelanggan berdasarkan CCPA; (d) akan segera memberi tahu Pelanggan tentang keputusan apa pun yang dibuat oleh Zoom bahwa Pelanggan tidak dapat lagi memenuhi kewajibannya berdasarkan CCPA; dan (e) setuju bahwa Pelanggan dapat, dengan pemberitahuan, mengambil langkah-langkah yang wajar dan tepat untuk menghentikan dan memulihkan penggunaan Informasi Pribadi yang tidak sah, sejalan dan sesuai dengan peraturan yang berlaku, dengan meminta dokumentasi yang wajar dari Zoom yang memverifikasi bahwa Zoom tidak lagi menyimpan atau menggunakan Informasi Pribadi yang tunduk pada permintaan penghapusan yang sah.

  3. Pembatasan. Zoom tidak akan (a) Menjual atau Membagikan Informasi Pribadi; (b) menyimpan, menggunakan, atau mengungkapkan Informasi Pribadi apa pun untuk tujuan apa pun selain tujuan yang dijelaskan dalam Bagian B(2)(a), di atas, atau sebagaimana diizinkan oleh CCPA, termasuk menyimpan, menggunakan, atau mengungkapkan Informasi Pribadi untuk Tujuan Komersial selain tujuan tersebut atau melayani Bisnis yang berbeda; (c) menyimpan, menggunakan, atau mengungkapkan Informasi Pribadi di luar hubungan bisnis langsung antara Zoom dan Pelanggan, kecuali sejauh diizinkan oleh CCPA; atau (d) menggabungkan Informasi Pribadi yang diterima sesuai dengan Perjanjian dengan Informasi Pribadi yang diterima dari pihak lain, atau interaksi Zoom sendiri dengan Konsumen yang terkait dengan Informasi Pribadi tersebut, kecuali sejauh Penyedia Layanan diizinkan untuk melakukannya berdasarkan CCPA. Zoom dengan ini menyatakan bahwa pihaknya memahami kewajibannya berdasarkan Adendum ini dan akan mematuhinya.

  4. Audit, Ulasan, dan Penilaian. Pelanggan, tunduk pada persyaratan yang wajar dan perjanjian tertulis sebagaimana diwajibkan oleh Zoom dan sesuai dengan CCPA, dan atas biaya dan pengeluaran Pelanggan sendiri, dapat mengaudit, meninjau, atau menilai Zoom tidak lebih dari sekali setiap 12 bulan, sesuai dengan Bagian A(2) (Audit dan Penilaian), di atas.

  5. Permintaan Konsumen. Pelanggan akan segera memberi tahu Zoom dan memberikan semua informasi yang diperlukan kepada Zoom setelah menerima dan memverifikasi permintaan Konsumen, dan Zoom akan segera mengambil tindakan tersebut dan memberikan informasi sebagaimana secara wajar dapat diminta oleh Konsumen untuk Informasi Pribadi Konsumen guna membantu Pelanggan memenuhi permintaan individu untuk menggunakan hak mereka berdasarkan CCPA, termasuk, tanpa batasan, permintaan untuk mengakses, memperbaiki, menghapus, memilih tidak ikut serta dari Penjualan atau Pembagian, atau menerima informasi tentang Informasi pribadi yang berkaitan dengan mereka. Jika Zoom menerima permintaan langsung dari Konsumen Pelanggan, Zoom dapat (i) menyarankan Konsumen untuk menghubungi Pelanggan secara langsung dengan permintaan tersebut atau (ii) menghubungi Pelanggan untuk merespons langsung kepada Konsumen.

Bagian C – Virginia, Colorado, Utah, & Negara Bagian Lain. Bagian C dari Adendum ini berlaku untuk penyediaan Layanan oleh Zoom dan penggunaan Layanan oleh Pelanggan sejauh Pelanggan adalah Pengontrol Data Pribadi dan Zoom Memproses Data Pribadi Pelanggan berdasarkan Undang-Undang Perlindungan Data Negara Bagian yang Berlaku.

  1. Definisi. Sebagaimana digunakan dalam Bagian C dari Adendum ini: (a) “Undang-Undang Perlindungan Data Negara Bagian yang Berlaku” berarti (i) Undang-Undang Privasi Colorado tahun 2021, Undang-Undang Perlindungan Data Konsumen Virginia tahun 2021, atau Undang-Undang Privasi Konsumen Utah tahun 2022, sebagaimana diamendemen, atau (ii) Undang-Undang negara bagian AS lainnya yang berlaku dan diterapkan untuk tujuan melindungi Data Pribadi apabila Pelanggan adalah Pengontrol dan Zoom adalah Pemroses serta syarat dan ketentuan Adendum ini memenuhi persyaratan Undang-Undang negara bagian tersebut; (b) “Pengontrol”, “Data Pribadi”, “Proses”, dan “Pemroses” akan memiliki arti masing-masing sebagaimana didefinisikan untuknya dalam Undang-Undang Perlindungan Data Negara Bagian yang Berlaku; dan (c) “Instruksi” memiliki arti yang diberikan di bawah ini.

  2. Pemrosesan Data Pribadi: Peran, Cakupan, dan Tanggung Jawab.
    1. Para pihak mengetahui dan menyetujui hal-hal berikut: Pelanggan adalah Pengontrol Data Pribadi Pelanggan. Zoom adalah Pemroses Data Pribadi Pelanggan.

    2. Hanya sejauh diperlukan dan dianggap wajar, Pelanggan sebagai Pengontrol menginstruksikan Zoom untuk melakukan aktivitas berikut sebagai Pemroses atas nama Pelanggan (secara bersama-sama disebut "Instruksi"):

      1. Menyediakan dan memperbarui Layanan sebagaimana dilisensikan, dikonfigurasi, dan digunakan oleh Pelanggan dan penggunanya, termasuk melalui penggunaan pengaturan Zoom, kontrol administrator, atau fungsionalitas Layanan lainnya oleh Pelanggan;

      2. Memantau Layanan secara aman dan real-time;

      3. Mengatasi masalah, bug, dan kesalahan;

      4. Memberikan dukungan yang diminta Pelanggan, termasuk menerapkan pengetahuan yang diperoleh dari permintaan dukungan masing-masing pelanggan untuk memberi manfaat bagi semua pelanggan Zoom, tetapi hanya sejauh pengetahuan tersebut dianonimkan; dan

      5. Memproses Data Pribadi Pelanggan sebagaimana diatur dalam Perjanjian (termasuk Adendum ini dan Ekshibit A di sini), serta instruksi terdokumentasi lainnya yang diberikan oleh Pelanggan dan diakui oleh Zoom sebagai instruksi.
    3. Sejauh Zoom bertindak sebagai Pemroses Data Pribadi Pelanggan, Zoom hanya akan Memproses Data Pribadi Pelanggan sesuai dengan Instruksi Pelanggan. Pelanggan harus memastikan bahwa Instruksinya kepada Zoom mematuhi semua Undang-Undang, aturan, dan peraturan yang berlaku untuk Data Pribadi Pelanggan, dan bahwa Pemrosesan Data Pribadi Pelanggan berdasarkan Instruksi Pelanggan tidak akan menyebabkan Zoom melanggar Hukum Perlindungan Data Negara Bagian yang Berlaku. Pelanggan sepenuhnya bertanggung jawab atas keakuratan, kualitas, dan keabsahan dari (i) Data Pribadi Pelanggan yang diberikan kepada Zoom oleh atau atas nama Pelanggan; (ii) cara Pelanggan memperoleh Data Pribadi Pelanggan tersebut; dan (iii) Instruksi yang diberikan kepada Zoom terkait Pemrosesan Data Pribadi Pelanggan tersebut. Pelanggan tidak boleh memberikan atau menyediakan Data Pribadi Pelanggan apa pun kepada Zoom yang melanggar Perjanjian atau Adendum ini.

    4. Pelanggan mengizinkan Zoom untuk melakukan pemindaian dan pelaporan Data Pribadi dalam keadaan terbatas (misalnya, untuk mendeteksi dan melaporkan Materi Pelecehan Seksual terhadap Anak; untuk mematuhi Undang-Undang lain yang berlaku; untuk memastikan kepatuhan terhadap Pedoman Penggunaan Zoom yang Dapat Diterima).

  3. Orang yang Berwenang. Zoom harus memastikan bahwa semua orang yang berwenang untuk Memproses Data Pribadi Pelanggan mengetahui sifat rahasia Data Pribadi Pelanggan dan tunduk pada kewajiban kerahasiaan sehubungan dengan data tersebut.

  4. Subkontraktor dan Subpemroses. Sejauh Zoom adalah Pemroses, Pelanggan dengan ini secara umum mengizinkan Zoom untuk melibatkan subkontraktor dan subpemroses sesuai dengan Bagian C(4) ini.

    1. Pelanggan menyetujui penggunaan penyedia oleh Zoom sebagaimana yang tertera di https://www.zoom.com/en/trust/subprocessors/ untuk memproses Data Pribadi Pelanggan.

    2. Zoom dapat menghilangkan, mengganti, atau menunjuk penyedia tambahan. Dengan ketentuan Pelanggan mengikuti pembaruan di https://www.zoom.com/en/trust/subprocessors/, Zoom akan memberi tahu Pelanggan tentang setiap perubahan terkait keterlibatan penyedia ini. Jika diwajibkan oleh Undang-Undang Perlindungan Data Negara Bagian yang Berlaku, Zoom juga akan memberikan kesempatan bagi Pelanggan untuk mengajukan keberatan atas keterlibatan sesuai dengan Bagian C(4)(d) dan C(4)(e) di sini.

    3. Dalam keadaan darurat yang menyangkut ketersediaan atau keamanan Layanan, Zoom tidak diwajibkan untuk memberikan pemberitahuan sebelumnya kepada Pelanggan tentang penghapusan, penggantian, atau penunjukan subkontraktor, tetapi akan memberikan pemberitahuan dalam waktu tujuh (7) hari kerja setelah perubahan subkontraktor.

    4. Dalam kasus apa pun, Pelanggan dapat mengajukan keberatan atas keterlibatan subkontraktor tersebut secara tertulis dalam waktu lima belas (15) hari kerja sejak diterimanya pemberitahuan yang disebutkan di atas oleh Zoom.

    5. Jika Pelanggan menolak keterlibatan subkontraktor baru, Zoom berhak untuk menyelesaikan keberatan tersebut melalui salah satu opsi berikut (untuk dipilih atas kebijakan Zoom sendiri):

      1. Zoom dapat membatalkan rencananya untuk menggunakan subkontraktor sehubungan dengan Data Pribadi Pelanggan.

      2. Zoom dapat mengambil langkah-langkah korektif yang diminta oleh Pelanggan dalam keberatannya (yang menghilangkan keberatan Pelanggan) dan melanjutkan penggunaan subkontraktor sehubungan dengan Data Pribadi Pelanggan.

      3. Zoom dapat menghentikan penyediaan atau Pelanggan dapat menyetujui untuk tidak menggunakan (baik sementara maupun permanen) aspek tertentu dari Layanan yang melibatkan penggunaan subkontraktor tersebut yang berkaitan dengan Data Pribadi Pelanggan. Zoom akan memberi tahu Pelanggan lewat deskripsi tertulis mengenai alternatif yang wajar secara komersial, jika ada, untuk keterlibatan tersebut, termasuk tanpa batasan modifikasi terhadap Layanan. Jika Zoom, atas kebijakannya sendiri, tidak dapat memberikan alternatif apa pun, atau jika Pelanggan tidak menyetujui alternatif apa pun yang diberikan, Zoom dan Pelanggan dapat mengakhiri Perjanjian ini, yang termasuk Adendum ini, dengan pemberitahuan tertulis enam puluh (60) hari sebelumnya. Pengakhiran tidak membebaskan Pelanggan dari kewajiban membayar biaya atau tagihan yang terutang kepada Zoom untuk Layanan yang telah diberikan hingga tanggal berlaku penghentian sesuai dengan Perjanjian.

      4. Jika Pelanggan tidak keberatan dengan keterlibatan subkontraktor baru dalam waktu 15 hari kerja sejak penerbitan pemberitahuan dari Zoom, subkontraktor baru tersebut akan dianggap diterima.

    6. Zoom hanya akan melibatkan subkontraktor yang Memproses Data Pribadi Pelanggan berdasarkan kontrak tertulis dan mewajibkan subkontraktor untuk memenuhi kewajiban Zoom yang disubkontrakkan terkait Data Pribadi tersebut. Zoom tetap bertanggung jawab terhadap Pelanggan jika subkontraktor tersebut gagal memenuhi kewajiban perlindungan datanya dalam pelaksanaan kewajiban subkontraktor tersebut pada tingkat yang sama seperti halnya Zoom sendiri akan bertanggung jawab berdasarkan Adendum ini jika pihaknya melakukan tindakan atau kelalaian tersebut.

  5. Keamanan Informasi. Dengan mempertimbangkan konteks Pemrosesan, Zoom akan mempertahankan langkah-langkah teknis dan organisasi yang sesuai sehubungan dengan Data Pribadi Pelanggan untuk memastikan tingkat keamanan yang sesuai dengan risiko berdasarkan Adendum ini dan sebagaimana dinyatakan secara tegas dalam Perjanjian.

  6. Informasi Kepatuhan. Atas permintaan yang wajar dari Pelanggan, Zoom akan menyediakan informasi yang wajar kepada Pelanggan, sesuai dan sejalan dengan Undang-Undang yang berlaku, yang dimiliki Zoom sebagaimana diperlukan untuk menunjukkan kepatuhan Zoom terhadap kewajiban Zoom dalam Adendum ini.

 

LAMPIRAN A

Deskripsi Pemrosesan

Pengontrol ke Pemroses


Sifat dan Tujuan Pemrosesan: Zoom akan memproses Data Pribadi Pelanggan untuk tujuan berikut sesuai dengan Perjanjian (termasuk Adendum ini):

  • Menyediakan dan memperbarui Layanan sebagaimana dilisensikan, dikonfigurasi, dan digunakan oleh Pelanggan dan penggunanya, termasuk melalui penggunaan pengaturan Zoom, kontrol administrator, atau fungsionalitas Layanan lainnya oleh Pelanggan;

  • Memantau Layanan secara aman dan real-time;

  • Mengatasi masalah, bug, dan kesalahan;

  • Memberikan dukungan yang diminta Pelanggan, termasuk menerapkan pengetahuan yang diperoleh dari permintaan dukungan pelanggan individu untuk memberi manfaat bagi semua pelanggan Zoom tetapi hanya sejauh pengetahuan tersebut dianonimkan;

  • Sebagaimana diatur dalam Perjanjian dan atau Adendum ini, atau instruksi terdokumentasi lainnya yang diberikan oleh Pelanggan dan diketahui oleh Zoom sebagai instruksi; dan

  • Sebagaimana diperlukan untuk mematuhi kewajiban hukum.

Jenis Data Pribadi yang Akan Diproses:

Informasi Profil Akun Zoom: Data yang terkait dengan akun Zoom pengguna akhir, gambar profil, kata sandi, nama perusahaan, dan preferensi Pelanggan. Ini akan mencakup:

  • ID pengguna unik Zoom,

  • gambar profil (opsional)

Data Diagnostik:

Metadata rapat: Metrik tentang penggunaan Layanan, termasuk kapan dan bagaimana rapat dilakukan).

Kategori ini mencakup:

  • log acara (termasuk tindakan yang diambil, jenis dan subjenis acara, lokasi acara di aplikasi, stempel waktu, UUID klien, ID pengguna, dan ID rapat)

  • informasi sesi rapat, termasuk frekuensi, durasi rata-rata dan aktual, kuantitas, kualitas, aktivitas jaringan, dan konektivitas jaringan

  • jumlah rapat

  • jumlah sesi berbagi layar dan non-berbagi layar

  • jumlah peserta

  • informasi host rapat

  • nama host

  • URL situs rapat

  • waktu mulai/berakhir rapat

  • metode bergabung

  • informasi performa, pemecahan masalah, dan diagnostik

Data telemetri: Data yang dikumpulkan dari perangkat lunak yang diinstal secara lokal (aplikasi dan informasi browser tentang penggunaan Layanan Zoom dan lingkungan sistem/informasi teknis terkait). Ini termasuk:

  • Nama PC

  • mikrofon

  • speaker

  • kamera

  • domain

  • ID harddisk

  • jenis jaringan

  • jenis dan versi sistem operasi

  • versi klien

  • Alamat MAC

  • log acara (termasuk tindakan yang diambil, jenis dan subjenis acara, lokasi acara di aplikasi, stempel waktu, UUID klien, ID pengguna, dan ID rapat)

  • log layanan (informasi tentang acara dan status sistem)

Data Lainnya yang Dihasilkan Layanan:

  • identifikasi spam

  • pemberitahuan push

  • Pengidentifikasi unik persisten Zoom seperti UUID atau ID pengguna yang digabungkan dengan elemen data lainnya termasuk:

  • Alamat IP

  • Pusat data

  • Nama PC

  • Mikrofon

  • Speaker

  • Kamera

  • Domain

  • ID harddisk

  • Jenis jaringan

  • Jenis dan Versi Sistem Operasi

  • Versi Klien

  • Alamat IP beserta Jalur Jaringan

Data Pendukung:

  • Nama kontak pemohon dukungan, waktu, subjek, deskripsi masalah, umpan balik setelah rapat (jempol ke atas/bawah)

  • Lampiran yang disediakan pengguna termasuk rekaman, transkrip, atau tangkapan layar, umpan balik setelah rapat (teks uraian dengan jempol ke bawah

Durasi Pemrosesan: Jangka waktu Perjanjian ditambah periode ketika Zoom menghapus atau mengembalikan semua Data Pribadi Pelanggan yang diproses atas nama Pelanggan.

Pembaruan

Zoom dapat mengubah atau melengkapi adendum privasi ini dari waktu ke waktu. Setiap modifikasi pada adendum privasi ini akan diposting di sini. Jika Anda ingin menerima pemberitahuan tentang perubahan atau tambahan pada adendum privasi ini, silakan berikan alamat email Anda di kotak teks di bawah ini.