Adendum Pemrosesan Data OpenAI

Berlaku: 1 Januari 2026

(Lihat adendum pemrosesan data sebelumnya)

Adendum Pemrosesan Data OpenAI ini (“DPA”) melengkapi, dan dimasukkan ke dalam, Perjanjian Layanan OpenAI (“Perjanjian”) yang mengatur penggunaan Layanan dan berlaku sejak Tanggal Efektif antara pelanggan yang disebutkan di atas (“Pelanggan”) dan OpenAI OpCo, LLC, atas namanya dan atas nama Afiliasinya, kecuali jika Pelanggan berbasis di negara Kawasan Ekonomi Eropa atau Swiss, dalam hal ini berlaku dengan OpenAI Ireland Ltd., atas namanya dan atas nama Afiliasinya (“OpenAI”). Istilah dalam huruf kapital yang tidak didefinisikan dalam DPA memiliki makna sebagaimana ditetapkan dalam Perjanjian. Dalam DPA ini, OpenAI dan Pelanggan masing-masing disebut sebagai “Pihak” dan secara bersama-sama sebagai “Para Pihak.” Pelanggan menyatakan bahwa ia secara hukum berhak untuk membuat Perjanjian ini dan, jika ia membuat Perjanjian untuk suatu entitas, maka ia memiliki kewenangan hukum untuk mengikat entitas tersebut. Dengan mengklik “Saya setuju”, menerima Formulir Pemesanan, atau menggunakan Layanan, Pelanggan menyetujui Perjanjian ini.

• 1.1 Lingkup dan Peran. Sebagai bagian dari penyediaan Layanan kepada Pelanggan berdasarkan Perjanjian, OpenAI dapat memproses Data Pelanggan atas nama Pelanggan. OpenAI bertindak sebagai Prosesor Data atas nama Pelanggan, dan DPA ini mengatur Pemrosesan tersebut.
• 1.2 Detail Pemrosesan. OpenAI hanya akan memproses Data Pelanggan untuk tujuan memberikan Layanan kepada Pelanggan sesuai dengan Perjanjian dan DPA ini. Detail mengenai sifat, durasi, serta jenis Data Pelanggan dan kategori Subjek Data yang terlibat, ditetapkan dalam Jadwal 1 (Detail Pemrosesan) dari DPA ini. OpenAI dan Pelanggan masing-masing setuju untuk mematuhi kewajiban mereka sesuai dengan Undang-Undang Perlindungan Data terkait dengan Layanan.

• 2.1 Instruksi Pelanggan. Para Pihak sepakat bahwa DPA ini, Perjanjian (termasuk Formulir Pesanan), dan instruksi apa pun yang diberikan melalui alat konfigurasi dan alat lain dalam Layanan yang disediakan oleh OpenAI, merupakan instruksi terdokumentasi Pelanggan mengenai pemrosesan Data Pelanggan oleh OpenAI (“Instruksi Pelanggan”). OpenAI akan memproses Data Pelanggan hanya sesuai dengan Instruksi Pelanggan, kecuali jika diwajibkan oleh hukum yang berlaku yang mengikat OpenAI, dalam hal ini OpenAI akan memberitahukan Pelanggan mengenai kewajiban tersebut sebelum melakukan pemrosesan, kecuali jika dilarang secara hukum untuk melakukannya.
• 2.2 Pemberitahuan kepada Pelanggan. OpenAI akan segera memberitahukan Pelanggan secara tertulis jika, menurut pendapat OpenAI, suatu Instruksi Pelanggan melanggar Undang-Undang Perlindungan Data. OpenAI akan, sejauh diizinkan secara hukum, memberitahukan Pelanggan jika OpenAI menerima permintaan yang mengikat secara hukum untuk pengungkapan Data Pelanggan oleh otoritas penegak hukum.
• 2.3 Kerahasiaan. OpenAI akan memastikan bahwa semua orang yang diberi wewenang oleh OpenAI untuk memproses Data Pelanggan telah berkomitmen pada kerahasiaan atau berada di bawah kewajiban kerahasiaan yang sesuai dengan undang-undang.
• 2.4 Permintaan Subjek Data. OpenAI akan, sejauh diizinkan oleh hukum, memberi tahu Pelanggan jika OpenAI menerima permintaan untuk melaksanakan hak subjek data sesuai dengan Undang-Undang Perlindungan Data (“Permintaan Subjek Data”) terkait dengan Data Pelanggan.  OpenAI tidak akan menanggapi permintaan demikian tanpa otorisasi tertulis dari Pelanggan terlebih dahulu, kecuali Pelanggan mengotorisasi OpenAI untuk mengalihkan Permintaan Subjek Data sebagaimana diperlukan agar Pelanggan dapat merespons secara langsung. Dengan mempertimbangkan sifat pemrosesan, OpenAI akan membantu Pelanggan dengan menerapkan langkah-langkah teknis dan organisasi yang sesuai, sejauh mungkin, untuk memungkinkan Pelanggan menanggapi Permintaan Subjek Data.
• 2.5 Keamanan. OpenAI akan menerapkan dan memelihara langkah-langkah keamanan organisasi dan teknis yang wajar dan sesuai untuk melindungi Data Pelanggan, sebagaimana diatur dalam Perjanjian.
• 2.6 Bantuan kepada Pelanggan. OpenAI akan, dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi OpenAI, memberikan bantuan yang wajar kepada Pelanggan untuk membantu Pelanggan mematuhi kewajibannya berdasarkan Undang-Undang Perlindungan Data termasuk, jika sesuai, penyusunan penilaian dampak perlindungan data sehubungan dengan pemrosesan Data Pelanggan oleh OpenAI dan, jika diperlukan, Pelanggan berkonsultasi dengan otoritas pengawas yang memiliki yurisdiksi atas pemrosesan tersebut, jika konsultasi tersebut diwajibkan oleh Undang-Undang Perlindungan Data.
• 2.7 Pelanggaran Data Pribadi. OpenAI akan memberitahukan Pelanggan tanpa penundaan yang tidak semestinya setelah menyadari adanya Pelanggaran Data Pribadi. OpenAI akan memberikan bantuan yang wajar kepada Pelanggan untuk membantu Pelanggan mematuhi kewajibannya berdasarkan Undang-Undang Perlindungan Data terkait Pelanggaran Data Pribadi tersebut.
• 2.8 Menilai Kepatuhan. OpenAI akan, atas permintaan tertulis yang wajar dari Pelanggan dan sejauh yang diwajibkan oleh Undang-Undang Perlindungan Data: (i) tidak lebih dari sekali per tahun, menyediakan kepada Pelanggan kebijakan privasi dan keamanan OpenAI serta informasi lain yang diperlukan untuk menunjukkan kepatuhan terhadap kewajiban OpenAI berdasarkan DPA ini; dan (ii) dengan syarat bahwa Para Pihak memiliki perjanjian kerahasiaan yang sesuai, mengizinkan dan berkontribusi pada audit atau inspeksi oleh, atau atas nama, Pelanggan dengan biaya Pelanggan sendiri.  Audit atau inspeksi tersebut harus: (A) dilakukan dengan cara yang seminimal mungkin mengganggu bisnis OpenAI; (B) diperlukan untuk mengonfirmasi bahwa OpenAI memproses Data Pelanggan dengan cara yang konsisten dengan DPA ini; dan (C) dilakukan tidak lebih dari sekali setahun. Jika diizinkan oleh Undang-Undang Perlindungan Data, OpenAI dapat menyediakan kepada Pelanggan ringkasan Laporan Audit yang relevan dengan kepatuhan OpenAI terhadap DPA ini. Hasil dan dokumentasi tersebut, termasuk hasil dari audit atau inspeksi apa pun, akan menjadi Informasi Rahasia milik OpenAI.
• 2.9 Keterlibatan Sub-prosesor. Pelanggan dengan ini memberikan otorisasi umum kepada OpenAI untuk melibatkan Sub-prosesor yang tercantum dalam Daftar Sub-prosesor untuk memproses Data Pelanggan sehubungan dengan Layanan. OpenAI akan memberitahukan Pelanggan tentang setiap perubahan pada Daftar Sub-prosesor melalui posting blog, notifikasi dalam Layanan, atau cara wajar lainnya, atau melalui email jika Pelanggan berlangganan notifikasi email di situs Daftar Sub-prosesor. Pelanggan dapat menolak penggunaan Sub-prosesor tambahan tersebut dalam waktu 30 hari setelah menerima pemberitahuan perubahan dengan mengikuti petunjuk yang tercantum dalam Daftar Sub-prosesor atau dengan menghubungi privacy@openai.com. Dalam hal demikian, OpenAI akan bekerja sama dengan Pelanggan untuk menangani kekhawatirannya dan menawarkan alternatif atau solusi yang wajar secara komersial. Jika tidak ada alternatif atau solusi yang layak secara komersial menurut penilaian wajar OpenAI, atau jika keberatan tersebut belum diselesaikan dengan memuaskan bagi Para Pihak dalam waktu 30 hari sejak OpenAI menerima pemberitahuan keberatan dari Pelanggan, maka salah satu Pihak dapat mengakhiri Perjanjian atau Formulir Pesanan atau penggunaan terkait Layanan yang tidak dapat disediakan tanpa menggunakan Sub-prosesor baru tersebut. Dalam hal tersebut, Pelanggan akan menerima pengembalian dana atas biaya yang telah dibayarkan di muka sejauh biaya tersebut mencakup periode atau jangka waktu setelah tanggal pengakhiran tersebut.
• 2.10 Kewajiban Sub-prosesor. OpenAI harus membuat perjanjian kontraktual dengan setiap Sub-prosesor yang mewajibkan mereka untuk memenuhi kewajiban yang sebanding dengan yang dikenakan pada OpenAI di bawah DPA ini. Tunduk pada batasan tanggung jawab yang tercantum dalam Perjanjian, OpenAI akan tetap bertanggung jawab atas tindakan dan kelalaian Sub-prosesornya sejauh OpenAI akan bertanggung jawab berdasarkan DPA ini jika OpenAI melakukan tindakan atau kelalaian tersebut sendiri.
• 2.11 Pengembalian atau Penghapusan Data. Setelah berakhir atau dihentikannya Perjanjian, OpenAI akan, atas instruksi Pelanggan, mengembalikan atau menghapus Data Pelanggan, dan salinan yang ada kecuali jika retensi Data Pelanggan diwajibkan oleh hukum yang berlaku, dalam hal ini OpenAI akan mengisolasi dan melindunginya dari pemrosesan lebih lanjut kecuali sejauh yang diwajibkan oleh hukum yang berlaku.

• 3,1 Pemberitahuan dan otorisasi. Pelanggan menyatakan, menjamin, dan berjanji bahwa telah memberikan semua pemberitahuan yang diperlukan, dan memiliki serta akan mempertahankan selama Jangka Waktu semua hak, persetujuan, dan otorisasi yang diperlukan, sejauh yang diwajibkan di bawah Undang-Undang Perlindungan Data, untuk menyediakan Data Pelanggan kepada OpenAI dan untuk memberikan otorisasi kepada OpenAI untuk memproses Data Pelanggan sehubungan dengan Perjanjian, termasuk DPA ini.
• 3.2 Kerja Sama. Pelanggan harus bekerja sama secara wajar dengan OpenAI untuk membantu OpenAI dalam melaksanakan kewajibannya di bawah Undang-Undang Perlindungan Data yang berlaku.
• 3.3 Konfigurasi. Tanpa mengurangi kewajiban keamanan OpenAI dalam Bagian 2.5 dari DPA ini, Pelanggan mengakui dan menyetujui bahwa ia bertanggung jawab atas konfigurasi dan keputusan desain tertentu untuk Layanan serta untuk mengimplementasikan konfigurasi dan keputusan desain tersebut (misalnya, periode retensi, penghapusan, dll.) dengan cara yang mematuhi Undang-Undang Perlindungan Data yang berlaku.

• 4.1 Data EEA dan Swiss. Data Pelanggan yang diproses oleh OpenAI di bawah DPA ini mungkin termasuk dalam lingkup Undang-Undang Perlindungan Data dari Kawasan Ekonomi Eropa atau Swiss (“Data EEA dan Swiss”). Terlepas dari Pihak kontrak OpenAI yang berlaku di bawah DPA ini, Pelanggan dengan ini menginstruksikan OpenAI Ireland Limited untuk memproses Data EEA dan Swiss sesuai dengan DPA ini. Sejauh OpenAI Ireland limited transfer Data EEA dan Swiss ke afiliasi OpenAI lainnya atau pihak ketiga di luar Kawasan Ekonomi Eropa atau Swiss untuk menyediakan Layanan, hal itu akan dilakukan berdasarkan perjanjian yang memuat SCC yang memastikan adanya perlindungan yang tepat untuk melindungi Data Pelanggan atau keputusan kecukupan yang dikeluarkan oleh Komisi Eropa berdasarkan Pasal 45 GDPR.
• 4,2 Data Inggris. Data Pelanggan yang diproses oleh OpenAI di bawah DPA ini mungkin termasuk dalam lingkup Undang-Undang Perlindungan Data di Inggris Raya (“Data Inggris”). Terlepas dari Pihak Kontrak OpenAI yang berlaku di bawah DPA ini, Pelanggan dengan ini menginstruksikan OpenAI OpCo, LLC untuk memproses Data Inggris sesuai dengan DPA ini dan dengan SCC yang telah diamendemen oleh Adendum Inggris, yang dianggap telah dimasukkan (dan disertakan dalam DPA ini melalui referensi ini) dan diselesaikan sebagaimana dijelaskan dalam Lampiran 1.

Sejauh Undang-Undang Privasi A.S. berlaku:

• 5.1 OpenAI setuju untuk (a) tidak memberikan pelanggan dengan imbalan uang atau imbalan berharga lainnya sebagai imbalan atas Data Pelanggan dari Pelanggan. Para pihak mengakui dan setuju bahwa Pelanggan tidak “menjual” (sebagaimana istilah tersebut didefinisikan oleh Undang-Undang Privasi AS) Data Pelanggan kepada OpenAI; (b) tidak “menjual” (sebagaimana istilah tersebut didefinisikan oleh Undang-Undang Privasi AS) atau “membagikan” (sebagaimana istilah tersebut didefinisikan oleh CCPA) Data Pribadi; (c) sejauh Pelanggan mengizinkan atau menginstruksikan OpenAI untuk memproses Data Pelanggan yang tunduk pada Undang-Undang Privasi AS dalam bentuk yang tidak dapat diidentifikasi sebagai bagian dari Layanan, OpenAI harus (i) mengadopsi langkah-langkah yang wajar untuk mencegah data yang tidak dapat diidentifikasi tersebut digunakan untuk menyimpulkan informasi tentang, atau sebaliknya dihubungkan dengan, orang atau rumah tangga tertentu; (ii) berkomitmen secara publik untuk mempertahankan dan menggunakan data yang tidak dapat diidentifikasi tersebut dalam bentuk itu dan tidak berusaha untuk mengidentifikasi kembali informasi tersebut, kecuali jika diizinkan oleh Undang-Undang Privasi AS; dan (iii) sebelum membagikan data yang tidak dapat diidentifikasi dengan pihak lain, termasuk Sub-Prosesor, secara kontraktual mewajibkan penerima tersebut untuk mematuhi persyaratan ketentuan ini (c)(i)-(iii); dan (d) di mana Data Pelanggan tunduk pada CCPA (i) tidak menyimpan, menggunakan, mengungkapkan, atau memproses Data Pelanggan kecuali jika diperlukan untuk tujuan bisnis yang ditentukan dalam Perjanjian, termasuk tanpa batasan sebagaimana diatur dalam Lampiran 1 dari DPA ini; (ii) tidak menyimpan, menggunakan, mengungkapkan, atau memproses Data Pelanggan dengan cara apa pun di luar hubungan bisnis langsung antara OpenAI dan Pelanggan; (iii) tidak menggabungkan Data Pelanggan dengan Data Pribadi yang diterima OpenAI dari atau atas nama pihak ketiga lainnya atau yang dikumpulkan dari interaksi OpenAI sendiri dengan individu, dengan ketentuan bahwa OpenAI dapat menggabungkan Data Pelanggan untuk tujuan yang diizinkan di bawah CCPA jika diarahkan untuk melakukannya oleh Pelanggan atau sebagaimana diizinkan oleh CCPA; (iv) memberi tahu Pelanggan tanpa penundaan yang tidak semestinya jika OpenAI menentukan bahwa mereka tidak dapat lagi memenuhi kewajibannya di bawah CCPA; dan (v) jika Pelanggan secara wajar percaya bahwa Pemrosesan Data Pelanggan oleh OpenAI tidak konsisten dengan persyaratan CCPA dan setelah pemberitahuan yang wajar dari Pelanggan kepada OpenAI, Para Pihak akan bekerja sama dengan itikad baik untuk memperbaiki masalah tersebut, atau, jika setelah bekerja sama Pelanggan secara wajar menentukan bahwa masalah tersebut tidak dapat diperbaiki, OpenAI akan menghentikan Pemrosesan Data Pelanggan yang terpengaruh atas instruksi tertulis dari Pelanggan.
• 5.2 Pelanggan setuju untuk tidak melakukan tindakan apa pun yang akan (a) menjadikan penyediaan Data Pelanggan kepada OpenAI sebagai “penjualan” menurut Undang-Undang Privasi A.S. atau “pembagian” menurut CCPA (atau konsep setara menurut Undang-Undang Privasi A.S.); atau (ii) menjadikan OpenAI bukan “penyedia layanan” menurut CCPA atau “prosesor” menurut Undang-Undang Privasi A.S.

“Data Pelanggan” adalah Data Pribadi yang diproses oleh OpenAI atas nama Pelanggan untuk menyediakan Layanan

“Pengontrol data” memiliki arti yang ditetapkan untuk istilah “pengontrol” (atau istilah serupa lainnya) di bawah Undang-Undang Perlindungan Data

“Prosesor Data” memiliki makna sebagaimana ditetapkan untuk istilah “pemroses” (atau istilah serupa lainnya) dalam Undang-Undang Perlindungan Data.

“Undang-Undang Perlindungan Data” adalah undang-undang privasi data dan perlindungan data yang berlaku untuk pemrosesan Data Pelanggan oleh OpenAI terkait dengan Layanan. 

“Subjek Data” memiliki makna yang ditetapkan untuk istilah “subjek data” (atau istilah serupa lainnya) berdasarkan Undang-Undang Perlindungan Data

“GDPR” adalah Peraturan (UE) 2016/679 dari Parlemen Eropa dan Dewan Uni Eropa tanggal 27 April 2016

“Data Pribadi” memiliki arti yang ditetapkan untuk istilah “data pribadi” atau “informasi pribadi (atau istilah serupa lainnya) berdasarkan Undang-Undang Perlindungan Data

“Pelanggaran Data Pribadi” adalah pelanggaran keamanan yang mengakibatkan penghancuran, kehilangan, perubahan, pengungkapan tidak sah, atau akses tidak sah terhadap Data Pelanggan yang disimpan, ditransmisikan, atau diproses oleh OpenAI, Sub-prosesornya, atau pihak ketiga lain yang bertindak atas nama OpenAI, baik secara tidak sengaja maupun melanggar hukum

“Pemrosesan” memiliki makna yang ditetapkan untuk istilah “pemrosesan” (atau istilah serupa lainnya) di bawah Undang-Undang Perlindungan Data

“SCC” adalah Klausul Kontraktual Standar untuk transfer data pribadi ke negara ketiga yang diadopsi oleh Komisi Uni Eropa pada 4 Juni 2021 (sebagaimana dapat diubah, diperbarui, atau diganti dari waktu ke waktu)

“Sub-prosesor” adalah sub-prosesor yang dilibatkan oleh OpenAI untuk memproses Data Pelanggan sehubungan dengan Layanan, yang tercantum dalam Daftar Sub-prosesor

“Daftar Sub-prosesor” adalah daftar yang tersedia di alamat berikut https://platform.openai.com/subprocessors⁠(terbuka di jendela baru).

“Adendum Inggris” adalah adendum Inggris pada SCC UE yang diterbitkan oleh Komisioner Informasi berdasarkan bagian 119A(1) dari Undang-Undang Perlindungan Data 2018

“Undang-Undang Privasi A.S.” adalah bagian dari Undang-Undang Perlindungan Data yang berlaku untuk penduduk Amerika Serikat, termasuk tetapi tidak terbatas pada Undang-Undang Privasi Konsumen California (“CCPA”).

Jadwal 1

Detail Pemrosesan

1. Sifat dan Tujuan:

Kinerja Layanan di bawah Perjanjian.

2. Durasi:

Masa Berlakunya Perjanjian dan waktu yang diperlukan setelahnya bagi Para Pihak untuk melaksanakan kewajiban masing-masing yang berlaku setelah berakhirnya Masa Berlakunya Perjanjian, termasuk penghapusan data.

3. Kategori Data Pelanggan:

Pelanggan dapat menyerahkan Data Pribadi ke Layanan, di mana kategorinya akan bergantung pada penggunaan Layanan oleh Pelanggan yang ditentukan dan dikendalikan oleh Pelanggan atas kebijakannya sendiri, tetapi dapat mencakup, tetapi tidak terbatas pada nama, informasi kontak, informasi demografi, atau informasi lain yang disediakan oleh Pengguna Akhir Pelanggan dalam data tidak terstruktur.

4. Kategori subjek data:

Subjek data dapat mencakup, tetapi tidak terbatas pada karyawan Pelanggan, pelanggan, pemasok, dan umumnya Pengguna Akhir.

5. Data sensitif yang transfer (jika berlaku):

Data sensitif yang ditransfer (jika berlaku) serta pembatasan atau langkah perlindungan yang diterapkan dengan mempertimbangkan secara penuh sifat data dan risiko yang terlibat, seperti pembatasan tujuan secara ketat, pembatasan akses (termasuk akses hanya untuk staf yang telah mengikuti pelatihan khusus), penyimpanan catatan akses ke data, pembatasan transfer lanjutan, atau tindakan keamanan tambahan.

Tidak ada data sensitif yang dimaksudkan untuk ditransfer kecuali jika pengguna secara tidak terduga menyertakannya dalam data tidak terstruktur

6. Frekuensi:

Frekuensi transfer (misalnya, apakah data transfer secara satu kali atau berkelanjutan).

Secara terus menerus tergantung pada penggunaan Layanan oleh Pelanggan

7. Transfer ke Sub-Prosesor:

Sesuai dengan Pasal 2.9 dari DPA, Sub-prosesor akan memproses Data Pelanggan sebagaimana diperlukan untuk melaksanakan Layanan. Pemrosesan tersebut akan berlangsung selama masa berlaku Perjanjian, kecuali disepakati lain secara tertulis.

8. Informasi SCC untuk transfer Data Inggris di bawah Bagian 4.2:

• Modul Dua (Pengontrol ke Prosesor) dari SCC berlaku ketika Pelanggan adalah pengontrol data dan OpenAI memproses Data Pelanggan sebagai Pemroses Data. Modul Tiga (Prosesor ke Sub-prosesor) dari SCCs berlaku ketika Pelanggan adalah Prosesor Data dan OpenAI memproses Data Pelanggan sebagai sub-prosesor.
• 8.2 Untuk setiap modul dari SCC, jika berlaku, hal-hal berikut ini berlaku: (i) Klausul docking opsional dalam Klausul 7 tidak berlaku; (ii) Dalam Klausul 9, Opsi 2 (otorisasi tertulis umum) berlaku, dan jangka waktu minimum untuk pemberitahuan sebelumnya tentang perubahan subprosesor harus sebagaimana diatur dalam Bagian 2.9 dari DPA; (iii) Dalam Klausul 11, bahasa opsional tidak berlaku; (iv) Semua tanda kurung siku dalam Klausul 13 dengan ini dihapus; (v) Dalam Klausul 17 (Opsi 1), SCC akan diatur oleh hukum Inggris dan Wales; (vi) Dalam Klausul 18(b), sengketa akan diselesaikan di hadapan pengadilan Inggris dan Wales; (vii) Jadwal 1 ini berisi informasi yang diperlukan dalam Aneks I dan Aneks III dari SCC; (viii) Bagian 2.5 (Keamanan) dari DPA berisi informasi yang diperlukan dalam Aneks II dari SCC, (ix) otoritas pengawas yang berwenang adalah Kantor Komisioner Informasi (“ICO”).
• 8.3 Pengekspor data: Pelanggan berdasarkan Perjanjian; Pengimpor data: OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, Petugas Perlindungan Data, privacy@openai.com⁠.

Laksanakan Perjanjian Pemrosesan Data⁠(terbuka di jendela baru)