1. Pendahuluan
Kebijakan ini berlaku bagi grup Novimix, yang terdiri dari Novimix, Independent Information Security Rating Institute Ltd ("IISRI"), IISRI Global Service Centre Limited, dan CyberRank®. CyberRank® adalah platform SaaS yang dimiliki oleh Novimix Limited (perusahaan Selandia Baru no. 7377236, NZBN 9429047373495) dan dioperasikan berdasarkan lisensi oleh Independent Information Security Rating Institute Ltd ("IISRI"), yang berkontrak dengan pengguna akhir, serta IISRI Global Service Centre Limited ("IGSC"), yang berkontrak dengan mitra (reseller dan penyedia layanan keamanan terkelola). Ketiga perusahaan tersebut didirikan di Auckland, Selandia Baru, dan menyediakan peringkat keamanan siber dan privasi beserta layanan manajemen risiko pihak ketiga ("Layanan"). IISRI dan IGSC ("kami") menyediakan melalui CyberRank layanan daring otomatis untuk mengidentifikasi risiko keamanan siber dan privasi serta menerbitkan peringkat IISRI®. Pengendali data pribadi Anda adalah IISRI jika Anda adalah pengguna akhir (baik Anda berlangganan secara langsung maupun melalui mitra), dan IGSC jika Anda adalah mitra.
Kami berkomitmen untuk menjaga privasi Anda dan melindungi data pribadi Anda. Kebijakan Privasi ini menjelaskan cara kami mengumpulkan, menggunakan, mengungkapkan, dan melindungi informasi pribadi Anda sesuai dengan New Zealand Privacy Act 2020, General Data Protection Regulation (GDPR), UK General Data Protection Regulation dan Data Protection Act 2018, California Consumer Privacy Act sebagaimana diubah oleh California Privacy Rights Act (CCPA/CPRA), Australian Privacy Act 1988, Undang-Undang Pelindungan Data Pribadi Indonesia (UU PDP), serta undang-undang privasi internasional lain yang berlaku.
2. Informasi yang Kami Kumpulkan
Kami mengumpulkan data pribadi selama interaksi Anda dengan CyberRank, sebagaimana dirinci di bawah ini.
2.1 Situs Web
Cookie. Cookie adalah berkas kecil yang disimpan di perangkat Anda. Cookie yang mutlak diperlukan pada tabel di bawah ini menjaga situs tetap berfungsi dan aman, serta tidak memerlukan persetujuan Anda. Kami menempatkan cookie lain, seperti cookie analitik, hanya jika Anda menerimanya. Anda dapat menerima atau menolak cookie yang tidak esensial pada kunjungan pertama dan mengubah pilihan Anda kapan saja melalui di situs kami. Anda juga dapat mengelola cookie di pengaturan peramban.
| Situs | Cookie | Ditetapkan oleh | Tujuan | Berlaku | Jenis | Perlu persetujuan |
|---|---|---|---|---|---|---|
| cyberrank.ai | JSESSIONID | Platform CyberRank | Menjaga Anda tetap masuk | Sampai peramban ditutup | Mutlak diperlukan | Tidak |
| iisri.com | PHPSESSID | Situs web IISRI | Menjaga kunjungan Anda tetap berfungsi | Sampai peramban ditutup | Mutlak diperlukan | Tidak |
| Setiap halaman dengan perlindungan bot | __cf_bm | hCaptcha (perlindungan bot) | Mendeteksi lalu lintas otomatis untuk melindungi formulir dan masuk | Sekitar 30 menit | Mutlak diperlukan (keamanan) | Tidak |
| novimix.com | terms | Pihak pertama (Novimix) | Menyimpan penerimaan pengguna atas ketentuan situs web | 30 hari | Mutlak diperlukan (sementara) | Tidak |
Data Penggunaan dan Data Teknis: Kami mengumpulkan informasi teknis tentang penggunaan Anda atas situs web kami dan WebApp CyberRank, seperti halaman yang dikunjungi, riwayat penelusuran di situs kami, alamat IP, jenis peramban, dan pengenal perangkat. Sebagian informasi ini, khususnya alamat IP dan pengenal perangkat, merupakan data pribadi berdasarkan undang-undang privasi yang berlaku dan kami memperlakukannya sebagai data pribadi. Kami memproses data ini atas dasar kepentingan sah kami untuk mengamankan platform, mencegah penipuan dan penyalahgunaan, serta menganalisis dan meningkatkan kinerja situs web. Data teknis dan data penggunaan disimpan tidak lebih dari 12 bulan sejak pengumpulan, setelah itu data tersebut dihapus atau diagregasi sehingga tidak lagi mengidentifikasi Anda, kecuali jangka waktu yang lebih lama diperlukan untuk investigasi keamanan atau oleh hukum yang berlaku.
2.2 WebApp CyberRank
Informasi Pribadi: Untuk mendaftar dan meminta laporan peringkat, Anda harus memberikan nama depan dan nama belakang, alamat email, serta nama organisasi Anda. Setelah mendaftar di CyberRank, domain yang terkait dengan email Anda dianggap sebagai organisasi tempat Anda menjadi anggota. Asosiasi otomatis ini digunakan semata-mata untuk keperluan pengelolaan akun. Jika domain tersebut tidak mencerminkan organisasi Anda dengan benar, Anda dapat menghubungi kami di legal@iisri.com untuk meminta koreksi.
2.3 Alat Penilaian Gratis, Uji Coba Gratis, dan Kampanye
Ketika Anda menggunakan alat Penilaian (Kriptografi Pasca-Kuantum) gratis, uji coba gratis, atau penilaian gratis sebagai bagian dari suatu kampanye, kami mengumpulkan informasi berikut:
URL Situs Web: Nama domain yang Anda kirimkan untuk penilaian. Kami menyimpan nama domain ini bersama data penilaian yang dihasilkan (misalnya, konfigurasi TLS dan temuan algoritma kriptografi) sebagai bagian dari kegiatan peringkat dan penelitian kami yang berkelanjutan. Data ini dapat dimasukkan ke dalam statistik agregat yang dianonimkan (misalnya, menurut sektor, negara, atau kategori) sebagaimana dijelaskan pada bagian 3.
Alamat Email: Kami meminta alamat email Anda semata-mata untuk memverifikasi bahwa Anda terafiliasi dengan organisasi yang situs webnya dinilai, dengan mencocokkan domain email Anda dengan domain URL situs web yang dikirimkan. Alamat email Anda tidak disimpan sebagai bagian dari pelaksanaan penilaian. Alamat tersebut hanya digunakan untuk langkah verifikasi ini dan tidak disimpan, kecuali Anda memilih untuk menerima salinan laporan penilaian atau ingin berpartisipasi dalam promosi dan kompetisi. Jika Anda memilih untuk menerima laporan atau berpartisipasi dalam promosi dan kompetisi, kami akan menyimpan alamat email Anda bersama data penilaian terkait untuk tujuan tersebut, sesuai ketentuan penyimpanan pada bagian 5.
Foto dan/atau rekaman video: Dengan mendaftar untuk acara promosi, seperti kompetisi dan penghargaan peringkat, Anda mengakui dan menyetujui bahwa foto dan/atau rekaman video dapat diambil dan digunakan untuk tujuan promosi dan dokumentasi oleh penyelenggara.
2.4 Informasi Rahasia dan Sensitif
Kami tidak menerima informasi terklasifikasi atau informasi dengan izin keamanan melalui CyberRank atau dalam penilaian apa pun. Mohon jangan mengirimkannya kepada kami.
Untuk penilaian dan audit internal, Anda dapat memberikan informasi rahasia tentang organisasi Anda. Kami menggunakannya hanya untuk penilaian tersebut, dan hanya anggota tim IISRI yang namanya tercantum pada penilaian itu yang dapat mengaksesnya. Semua data penilaian yang dikumpulkan, termasuk bukti, wawancara, dan temuan terperinci, dienkripsi saat transit dan saat disimpan, serta dihapus dalam 30 hari setelah penilaian selesai. Satu-satunya informasi yang kami simpan setelah itu adalah minimum yang diperlukan untuk kepentingan bisnis yang sah, untuk tindak lanjut pada siklus penilaian berikutnya: periode penilaian, ruang lingkup, ringkasan temuan, dan penilai. Kami menyimpan informasi minimum tersebut selama 12 bulan.
2.5 Kelayakan
Layanan ditujukan untuk penggunaan bisnis oleh orang yang berusia 18 tahun atau lebih. Kami tidak dengan sengaja mengumpulkan data pribadi dari siapa pun yang berusia di bawah 18 tahun.
3. Penggunaan Informasi yang Dikumpulkan
Kami menggunakan data pribadi Anda untuk:
Dasar Hukum Pemrosesan
Kami memproses data pribadi Anda berdasarkan dasar hukum berikut:
Keperluan kontrak: untuk menyediakan Layanan yang telah Anda daftarkan, termasuk pengelolaan akun dan penyampaian layanan.
Kepentingan yang sah: untuk meningkatkan layanan kami, menjaga keamanan platform, dan mencegah penipuan, serta, sebagaimana dijelaskan pada bagian 4, untuk mengumpulkan dan memproses data keamanan, privasi, dan pelanggaran yang tersedia untuk publik tentang organisasi guna menyediakan Layanan.
Kewajiban hukum: untuk mematuhi undang-undang dan persyaratan regulasi yang berlaku.
Persetujuan: untuk komunikasi pemasaran, dan untuk cookie yang tidak esensial, apabila Anda telah memberikan persetujuan eksplisit dan dapat menariknya kapan saja.
4. Pengungkapan Informasi dan Pembagian Data
Kami tidak mengungkapkan informasi pribadi Anda kepada pihak ketiga tanpa persetujuan eksplisit Anda, kecuali dalam keadaan terbatas berikut ini.
Persyaratan Hukum: Kami dapat mengungkapkan informasi Anda apabila diwajibkan oleh hukum, misalnya untuk mematuhi perintah pengadilan, surat panggilan, atau proses hukum lain. Kami juga dapat mengungkapkan informasi untuk melindungi hak atau kepentingan hukum kami.
Pemroses Pembayaran: Kami dapat membagikan data Anda dengan penyedia layanan pihak ketiga tepercaya (Stripe) yang memproses data atas nama kami. Penyedia layanan tersebut terikat secara kontraktual untuk menjaga kerahasiaan dan keamanan data Anda.
Penyedia Layanan: Kami menggunakan sejumlah terbatas pemroses dan penyedia layanan pihak ketiga yang memproses data pribadi atas nama kami dan hanya sesuai instruksi kami untuk mengoperasikan Layanan. Mereka termasuk dalam kategori berikut: penyedia hosting dan infrastruktur awan; penyedia pengiriman email dan notifikasi; penyedia analitik situs web dan produk; penyedia perlindungan bot (hCaptcha); serta pemrosesan pembayaran (lihat di atas). Masing-masing terikat kewajiban pelindungan data tertulis yang sekurang-kurangnya setara dengan Kebijakan ini dan tidak boleh menggunakan data Anda untuk kepentingan mereka sendiri. Daftar terkini penyedia ini tersedia atas permintaan dengan menghubungi legal@iisri.com.
Perusahaan Grup: IISRI dan IGSC adalah anak perusahaan Novimix Limited. Kami dapat membagikan data pribadi secara terbatas (seperti data kontak dan penagihan pelanggan serta mitra) kepada Novimix Limited dan satu sama lain untuk administrasi grup, prakiraan, kepatuhan, pelaporan hukum, penjualan, dan akuntansi, atas dasar kepentingan sah kami dalam mengoperasikan bisnis CyberRank sebagai satu grup (GDPR Recital 48). Novimix Limited tidak memiliki akses lain ke data pribadi pelanggan atau ke Data Layanan Pelanggan, dan tidak menjalankan peran rekayasa atau dukungan. Rekayasa platform dilakukan oleh IISRI; dukungan diberikan oleh IISRI kepada pengguna akhir dan oleh IGSC kepada mitra. Setiap perusahaan grup terikat oleh pelindungan dalam Kebijakan ini.
Data Layanan Vendor: Sebagai bagian dari layanan inti kami, kami mengumpulkan dan memproses data keamanan, privasi, dan kepatuhan yang tersedia untuk publik tentang organisasi. Data ini, termasuk peringkat keamanan dan indikator risiko, dapat disediakan bagi pelanggan CyberRank lain untuk tujuan penilaian risiko pihak ketiga. Pemrosesan ini dilakukan berdasarkan dasar hukum IISRI sendiri sebagai pengendali data yang independen dan berbeda dari informasi pribadi yang disampaikan pengguna saat pendaftaran akun. Secara khusus:
Dasar hukum. Kami memproses Data Layanan Vendor atas dasar kepentingan sah kami (GDPR Pasal 6(1)(f)) dalam menyediakan peringkat keamanan siber dan privasi serta layanan manajemen risiko pihak ketiga, dan kepentingan sah pelanggan kami dalam menilai postur keamanan organisasi yang bekerja sama dengan mereka. Kami telah menilai bahwa kepentingan tersebut tidak dikesampingkan oleh hak individu, karena data berasal dari sumber yang sudah dapat diakses publik, kami tidak menciptakan paparan baru, dan kami menerapkan langkah minimisasi yang dijelaskan di bawah ini.
Data kebocoran dan kebocoran kredensial. Data Layanan Vendor dapat mencakup indikator bahwa suatu organisasi telah menjadi subjek kebocoran data atau kebocoran kredensial, yang diperoleh secara eksklusif dari basis data kebocoran publik dan sumber yang terpapar yang sudah ada. Apabila sumber tersebut memuat data pribadi individu (misalnya alamat email atau nama pengguna), kami hanya mengambil apa yang diperlukan untuk mengaitkan temuan tersebut dengan suatu organisasi, dan setiap kredensial atau pengenal yang kami simpan dipotong atau disamarkan di CyberRank sehingga tidak dapat digunakan untuk mengakses akun atau mengidentifikasi individu di luar afiliasi organisasinya. Kami tidak mengumpulkan, menyimpan, atau menampilkan kata sandi atau rahasia lain dalam bentuk yang dapat digunakan.
Penyimpanan. Data Layanan Vendor, termasuk peringkat historis dan indikator pelanggaran, merupakan substansi Layanan dan riwayat peringkat IISRI®, sehingga disimpan selama Layanan disediakan. Penyimpanan ini terpisah dari, dan tidak tunduk pada, jangka waktu penyimpanan yang berlaku bagi data akun pelanggan pada bagian 5.
Hak Anda. Jika Anda yakin Data Layanan Vendor yang disimpan IISRI memuat data pribadi yang berkaitan dengan Anda, Anda dapat menolak pemrosesan atau meminta penghapusan dengan menghubungi legal@iisri.com. Kami akan mempertimbangkan setiap permintaan berdasarkan manfaatnya dan menanggapi dalam jangka waktu pada bagian 7, dengan menyeimbangkan hak Anda terhadap kepentingan yang dijelaskan di atas.
Reseller: Apabila Anda mengakses Layanan CyberRank melalui Reseller yang berwenang, data pribadi Anda diproses oleh IISRI sebagai pengendali data dengan cara yang sama seperti yang dijelaskan dalam Kebijakan Privasi ini. Reseller Anda dapat memiliki akses ke informasi tingkat akun yang diperlukan untuk mengelola langganan Anda dan ke data vendor Anda jika Anda telah memberi wewenang kepada reseller untuk mengelola CyberRank atas nama Anda. Reseller Anda adalah pengendali data yang independen sehubungan dengan data pribadi yang dikumpulkannya untuk kegiatan penjualan kembali, keamanan terkelola, dan konsultansinya sendiri. Apabila Anda memberi wewenang kepada Reseller untuk mengelola CyberRank atas nama Anda, Reseller bertindak sebagai pemroses Anda, berdasarkan instruksi Anda dan kontrak Anda sendiri dengannya, dan bukan sebagai pemroses atau subpemroses kami. Kami tidak bertindak sebagai pemroses bagi Reseller Anda. IISRI tetap bertanggung jawab atas pelindungan data pribadi yang dikendalikannya, terlepas dari apakah Anda mengakses Layanan secara langsung atau melalui Reseller.
5. Penyimpanan Data
Kami menyimpan data pribadi Anda selama jangka waktu yang diperlukan untuk memenuhi tujuan yang diuraikan dalam kebijakan ini atau sebagaimana diwajibkan oleh hukum yang berlaku, termasuk New Zealand Privacy Act 2020 dan GDPR. Kami menyimpan data pribadi Anda tidak lebih dari 90 hari setelah pengakhiran atau kedaluwarsa akun Anda, setelah itu data tersebut dihapus secara aman atau dianonimkan, kecuali jangka waktu yang lebih lama diwajibkan oleh hukum yang berlaku. Sebagai pengecualian, catatan penagihan dan data yang secara wajar diperlukan untuk menerbitkan tagihan, menagih biaya yang belum dibayar, atau memenuhi kewajiban pajak dan akuntansi dapat disimpan selama diperlukan untuk tujuan tersebut.
Data teknis dan data penggunaan disimpan sebagaimana dijelaskan pada bagian 2.1, dan Data Layanan Vendor disimpan sebagaimana dijelaskan pada bagian 4. Untuk akun uji coba gratis, data pribadi dapat dihapus dalam 90 hari setelah uji coba berakhir jika pengguna belum beralih ke langganan berbayar. Foto dan/atau rekaman video yang diperoleh selama acara promosi IISRI dihapus dalam 12 bulan setelah acara, atau setelah tujuan promosi atau kampanye terpenuhi, jika lebih awal.
6. Keamanan Data
Kami menerapkan berbagai langkah keamanan teknis dan organisasi untuk melindungi data Anda dari akses, perubahan, pengungkapan, atau pemusnahan yang tidak sah. Langkah-langkah tersebut meliputi:
Enkripsi
TLS 1.3 saat transit, enkripsi AES-256, dan hashing SHA-512.
Kontrol Akses
Kata sandi yang kuat dan autentikasi multifaktor.
Audit Keamanan
Audit berkala dan pengujian penetrasi.
Pemberitahuan pelanggaran data. Jika pelanggaran data pribadi kemungkinan menimbulkan risiko terhadap hak dan kebebasan Anda, kami akan:
- memberitahu otoritas pengawas yang relevan dalam 72 jam setelah mengetahui pelanggaran, apabila GDPR berlaku;
- memberitahu Office of the Privacy Commissioner di Selandia Baru sesegera mungkin, apabila New Zealand Privacy Act berlaku; dan
- memberitahu pelanggan yang terdampak tanpa penundaan yang tidak semestinya, apabila diwajibkan oleh hukum yang berlaku.
Kami telah memperoleh sertifikasi ISO/IEC 27001 untuk mendukung peningkatan berkelanjutan Sistem Manajemen Keamanan Informasi (ISMS) kami.
7. Hak Anda
Kami mematuhi GDPR dan New Zealand Privacy Act 2020, yang memberikan hak tertentu kepada Anda terkait data pribadi Anda.
Akses
Anda dapat mengakses informasi pribadi Anda di dasbor CyberRank atau meminta salinan data pribadi Anda yang kami simpan.
Perbaikan
Anda dapat memperbaiki data yang tidak akurat atau tidak lengkap tentang Anda di CyberRank atau meminta kami untuk melakukannya.
Penghapusan
Anda dapat menghapus data pribadi Anda dengan menutup akun CyberRank atau meminta bantuan kami.
Pembatasan Pemrosesan
Anda dapat meminta kami untuk menghentikan sementara atau secara permanen pemrosesan seluruh atau sebagian data pribadi Anda sementara kami memverifikasi keakuratan data Anda atau keabsahan pemrosesan kami.
Keberatan
Anda dapat menolak pemrosesan data pribadi Anda jika kami mengandalkan kepentingan yang sah (atau kepentingan pihak ketiga) dan situasi Anda memberi alasan untuk menolak. Anda juga dapat menolak apabila kami memproses data pribadi Anda untuk pemasaran langsung.
Portabilitas Data
Anda dapat meminta kami mengalihkan data pribadi Anda kepada Anda atau kepada pihak ketiga dalam format yang terstruktur, umum digunakan, dan dapat dibaca mesin.
Keputusan otomatis dan pemrofilan
Anda dapat meminta peninjauan oleh manusia atas keputusan yang menimbulkan akibat hukum atau akibat signifikan serupa bagi Anda, sebagaimana dijelaskan pada bagian 3.
Pengaduan
Anda dapat mengajukan pengaduan kepada otoritas pengawas jika Anda meyakini pemrosesan data pribadi Anda oleh kami melanggar undang-undang pelindungan data.
Penarikan Persetujuan
Jika pemrosesan data pribadi Anda didasarkan pada persetujuan Anda, Anda berhak menarik persetujuan tersebut kapan saja. Hal ini tidak memengaruhi keabsahan pemrosesan yang didasarkan pada persetujuan sebelum penarikannya.
Untuk menggunakan hak-hak ini, kirim email ke legal@iisri.com. Kami akan membalas dalam 20 hari kerja berdasarkan New Zealand Privacy Act 2020, dan dalam satu bulan berdasarkan GDPR, mana yang berlaku bagi Anda.
8. Perubahan Kebijakan
Kami dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu untuk mencerminkan perubahan praktik atau persyaratan hukum kami. Ketika kami membuat perubahan material, kami akan memberitahu Anda 30 hari sebelumnya melalui email. Kami akan memperbarui tanggal berlaku di bagian atas halaman ini. Harap tinjau Kebijakan Privasi ini secara berkala agar tetap mengetahui cara kami melindungi data pribadi Anda.
9. Komunikasi Layanan
Kami dapat mengirimkan komunikasi administratif atau operasional yang berkaitan dengan Layanan, seperti pemberitahuan perubahan signifikan pada platform CyberRank (misalnya, fitur baru, gangguan layanan, penghentian, atau pembaruan terkait keamanan), serta pembaruan Kebijakan Privasi atau Syarat dan Ketentuan sebagaimana dijelaskan pada bagian 8. Komunikasi ini diperlukan untuk administrasi dan keamanan akun Anda yang layak dan bukan komunikasi pemasaran. Komunikasi ini tidak memerlukan persetujuan pemasaran terpisah dan tidak dapat dinonaktifkan selama Anda memiliki akun aktif, meskipun Anda dapat menutup akun kapan saja jika tidak lagi ingin menerimanya.
10. Transfer Data Internasional
Data Anda dapat ditransfer ke negara di luar Selandia Baru atau Wilayah Ekonomi Eropa. Apabila kami mentransfer data pribadi dari EEA, kami mengandalkan keputusan kecukupan Selandia Baru dari European Commission. Untuk transfer ke negara ketiga lain, kami menerapkan Standard Contractual Clauses (EU SCCs) atau pengamanan yang setara. Untuk transfer dari Britania Raya, kami menggunakan International Data Transfer Agreement (IDTA) yang disetujui ICO atau mekanisme yang setara. Penyedia perlindungan bot kami, hCaptcha (dioperasikan oleh Intuition Machines, Inc.), memproses data di Amerika Serikat. Transfer mengandalkan sertifikasi EU-US Data Privacy Framework serta Standard Contractual Clauses dalam perjanjian pemrosesan datanya. Rincian lengkap diatur dalam Adendum A dan Adendum B Perjanjian Platform Pengguna Akhir kami, yang tersedia di CyberRank.ai.
11. Hubungi Kami
Untuk pertanyaan, kekhawatiran, atau permintaan mengenai Kebijakan Privasi ini, kirim email ke legal@iisri.com atau gunakan formulir kontak kami.
Petugas Pelindungan Data. IISRI dan IGSC telah menunjuk Petugas Pelindungan Data, yang dapat dihubungi untuk setiap hal yang berkaitan dengan Kebijakan Privasi ini atau pemrosesan data pribadi Anda di DPO@iisri.com, atau di IISRI / IGSC / Novimix Limited, Level G, 26 Hobson Street, Auckland City 1010, New Zealand, dengan perhatian kepada Petugas Pelindungan Data.
Alamat Surat
IISRI / IGSC / Novimix Limited, Level G, 26 Hobson Street, Auckland City 1010, New Zealand