Mitigasi Risiko dan Kepatuhan dalam Outsourcing

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi membedakan dua peran. Pengendali Data adalah pihak yang menentukan tujuan dan mengendalikan pemrosesan data pribadi. Dalam kerja sama outsourcing, peran ini ada pada perusahaan Anda. Prosesor Data adalah pihak yang memproses data pribadi atas nama Pengendali sesuai instruksi tertulis, dan RADIKARI menjalankan peran itu. Karena tanggung jawab utama terhadap subjek data tetap ada pada Pengendali Data, ruang lingkup pemrosesan, masa simpan, dan daftar subprosesor ditulis di perjanjian sebelum data dipindahkan.

Ya. RADIKARI adalah vendor outsourcing bersertifikat ISO/IEC 27001:2022 untuk sistem manajemen keamanan informasi. Kami juga memegang ISO 9001:2015 untuk manajemen mutu dan ISO 37001:2016 untuk manajemen anti-penyuapan, dan pihak eksternal mengaudit ketiganya. Setiap sertifikasi punya ruang lingkup tertentu. Karena itu, pada tahap due diligence kami dapat menyediakan sertifikat ISO 27001 beserta pernyataan ruang lingkupnya, sekaligus mengonfirmasi lokasi dan layanan Anda yang termasuk dalam lingkup sertifikasi itu.

RADIKARI menerapkan safeguard fisik, teknis, dan administratif yang mengacu pada persyaratan HIPAA. Bila diperlukan, kami juga dapat menyiapkan Business Associate Agreement (BAA) sebelum layanan dimulai. Kami membatasi akses ke PHI sesuai kebutuhan minimum setiap peran dan mencatatnya per pengguna. Tim yang menangani PHI bekerja di workstation dengan pembatasan media serta menjalani screening dan induksi khusus HIPAA. Tim ini juga memiliki jalur pelaporan dugaan insiden kepada Anda dalam batas waktu yang disepakati.

Tim kami menangani insiden keamanan melalui proses incident response dalam lima langkah: menahan dampak, menilai cakupan, menyampaikan notifikasi, memperbaiki, dan meninjau kejadian. Sebelum go-live, kedua pihak menyepakati batas waktu notifikasi dan kontak yang ditunjuk masing-masing di dalam kontrak, sehingga koordinasi dapat segera berjalan. Setelah insiden ditutup, kami mendokumentasikan akar masalah dan tindakan korektif sebagai masukan untuk perbaikan kontrol, sejalan dengan persyaratan ISO 27001.

RADIKARI beroperasi dari lima lokasi operasional di Jakarta, Semarang, dan Yogyakarta, sehingga satu layanan dapat berjalan dari lebih dari satu lokasi. Bila satu lokasi mengalami gangguan sistem, bencana, atau insiden keamanan, trafik dapat dialihkan ke lokasi lain dengan agent yang sudah dilatih untuk layanan yang sama. Untuk setiap kerja sama, kami menyusun rencana business continuity dan disaster recovery. Target waktu pemulihan (RTO) dan batas kehilangan data (RPO) tertulis di kontrak dan diuji melalui latihan pemulihan.

Ya. Perjanjian kami mencantumkan hak audit dan inspeksi, termasuk lama pemberitahuan sebelum audit dan dokumen yang kami sediakan, seperti kebijakan, daftar akses, sampel log, catatan pelatihan, dan pernyataan ruang lingkup sertifikasi. Kami mengumpulkan catatan itu selama operasional berjalan, sehingga tim Anda dapat langsung memeriksa kontrol berdasarkan data yang ada.

Tidak. Pengendali Data atau Covered Entity adalah pihak yang menentukan pemrosesan data pribadi. Pihak ini tetap bertanggung jawab atas data itu berdasarkan UU PDP Indonesia dan HIPAA, serta GDPR bila berlaku bagi perusahaan Anda. Outsourcing memindahkan pekerjaan kepada Prosesor Data yang memiliki kewajibannya sendiri. Karena itu, kedua pihak perlu menyepakati perjanjian, kontrol, dan cara membuktikan penerapannya. Kontrol yang sama berlaku bagi setiap orang yang terlibat, baik ketika RADIKARI menjalankan proses melalui business process outsourcing maupun ketika kami menyediakan dan mengurus administrasi karyawan melalui manpower process outsourcing.