Transfer data pribadi selanjutnya

Agar dapat menyediakan layanan kami kepada Anda secara efektif, data pribadi yang Anda berikan kepada entitas Shopify tempat Anda membuat kontrak ditransfer ke penerima berikut:

• entitas Shopify lain tertentu, dan
• subprosesor tepercaya yang dipilih dengan cermat

Bagian ini memberikan informasi tentang cara transfer selanjutnya diatur.

Transfer lanjutan data pribadi dari Wilayah Ekonomi Eropa (EEA) dan Britania Raya (UK)

Shopify International Limited, sebuah entitas yang terdaftar di Irlandia, adalah entitas kontrak utama Shopify dengan penjual di EMEA (Eropa, Timur Tengah, dan Afrika) dan LATAM (Amerika Latin). International Limited juga bertindak sebagai badan utama Shopify untuk tujuan Peraturan Perlindungan Data Umum (GDPR).

GDPR, dan peraturan setaranya di UK, mewajibkan bahwa ketika data pribadi dibagikan dengan entitas di luar EEA dan UK, harus ada tingkat perlindungan yang pada dasarnya setara di negara tujuan. Karena alasan ini, transfer internasional semacam itu harus dilindungi oleh mekanisme hukum yang kuat.

Cara Shopify memenuhi persyaratan GDPR untuk transfer data internasional

Untuk memenuhi persyaratan ini, Shopify mengandalkan keputusan kecukupan Komisi Eropa untuk Kanada saat Shopify International Limited mentransfer data pribadi ke perusahaan induknya yang terdaftar di Kanada, Shopify Inc. Pelajari selengkapnya tentang keputusan kecukupan.

Selain itu, Shopify juga menggunakan perjanjian transfer dan pemrosesan data (DPA) komprehensif yang menyertakan versi terbaru Klausul Kontrak Standar (SCC) yang disetujui oleh Komisi Eropa untuk mengatur:

• setiap transfer dalam grup Shopify, dan
• transfer lanjutan ke subprosesor kami

Kami menilai subprosesor kami dengan cermat untuk memastikan mereka memiliki langkah-langkah teknis dan organisasi yang sesuai untuk melindungi data pribadi dan melakukan penilaian dampak transfer yang sesuai. Pelajari selengkapnya tentang SCC

Baik keputusan kecukupan maupun SCC dianggap sebagai mekanisme transfer yang sah secara hukum dan memadai oleh otoritas perlindungan data di EEA dan UK.

Sebagai langkah tambahan, Shopify juga telah mengajukan Peraturan Perusahaan yang Mengikat untuk mengatur transfer lebih lanjut dalam grup Shopify. Permohonan tersebut telah diajukan kepada otoritas pengawas utama Shopify untuk tujuan GDPR, yaitu Komisi Perlindungan Data Irlandia. Peraturan ini akan menjadi mekanisme transfer hukum tambahan untuk mengamankan transfer dalam grup perusahaan kami. Kami sedang dalam tahap akhir permohonan ini dan berharap permohonan ini akan segera disetujui.

Transfer lanjutan data pribadi dari semua wilayah lain

Undang-undang privasi tertentu di yurisdiksi selain EEA dan UK juga memerlukan perlindungan khusus terkait transfer data pribadi internasional. Untuk memenuhi persyaratan ini, DPA Shopify yang mengatur transfer dalam grup Shopify, dan DPA-nya yang mengatur transfer lanjutan ke subprosesor kami, menyertakan perlindungan yang sesuai untuk memastikan kepatuhan terhadap undang-undang privasi di Kanada, Amerika Serikat (AS), dan Singapura, sebagaimana berlaku. Kami juga memperbarui dan memelihara DPA ini sebagaimana diperlukan.

Lokasi hosting data

Shopify secara dinamis menyeimbangkan kembali penyimpanan di antara beberapa wilayah Google Cloud Platform untuk memastikan bahwa kami dapat menawarkan infrastruktur yang andal dan dapat diskalakan yang mampu menangani volume yang tidak dapat diprediksi di seluruh database penjual kami. Kami perlu dapat memindahkan data secara geografis untuk mengoperasikan layanan kami, dan kami memiliki mekanisme untuk melakukannya sesuai dengan undang-undang dan peraturan yang berlaku, termasuk GDPR.

Shopify kini menyimpan data pribadi penjual dan pelanggan tertentu di Eropa (yaitu EEA, UK, dan/atau Swiss), sebagai berikut:

• Penjual baru di Eropa secara otomatis memanfaatkan infrastruktur baru ini, dan data toko, data pesanan, serta data pribadi pelanggan mereka kini disimpan dalam keadaan tidak aktif di Eropa secara default.
• Semua fitur Shopify yang ada akan tetap berfungsi.
• Bahkan jika data pribadi pelanggan penjual disimpan di Eropa, kami akan mengandalkan transfer data internasional untuk memproses data pribadi tersebut.

Cara Shopify memilih Subprosesornya

Sejalan dengan GDPR dan undang-undang perlindungan data lain yang berlaku, Shopify mengadopsi serangkaian tindakan praktik terbaik saat memilih subprosesor:

• Kami memilih perusahaan yang bekerja sama dengan kami secara cermat.
• Kami hanya menggunakan sejumlah penyedia layanan pihak ketiga yang terbatas.
• Kami mewajibkan subprosesor untuk menandatangani DPA yang komprehensif, yang menyertakan SCC selain perlindungan yang sesuai untuk memastikan kepatuhan terhadap undang-undang privasi di Kanada, AS, dan Singapura.
• Kami membatasi penggunaan subprosesor kami untuk layanan teknis: hosting cloud, pencatatan eror, penyeimbangan beban, pengiriman konten, pengiriman pemetaan, analisis data, dan pencatatan internal (file log).
• Transfer terjadi secara berkelanjutan dan aman.
• Tidak ada kategori data pribadi yang sensitif atau khusus yang diproses secara sengaja, kecuali jika diarahkan oleh pengontrol.
• Kami meninjau program privasi dan keamanan subprosesor kami dengan cermat.

Pelajari selengkapnya tentang subprosesor inti Shopify.