KEBIJAKAN PRIVASI B2B — B2B PRIVACY NOTICE

Vanaya NeuroTech — Layanan Neurometric® — PT Douva Affala International

Dipublikasikan di / Published at: https://vanaya.tech/privacy-policy/
Ditujukan kepada Mitra (B2B) / Addressed to Partners (B2B)
v3.0 (Clickwrap · selaras TLA v13) · Efektif / Effective: 23 Juli 2026 · Ref: VNT-PN-B2B-3.0-20260723

BAHASA INDONESIA ENGLISH
1. Pendahuluan dan Ruang Lingkup.
Kebijakan Privasi ini (“Kebijakan”) menjelaskan bagaimana Vanaya NeuroTech, yang dioperasikan oleh PT Douva Affala International (“VNT”, “kami”), memproses data dalam menyediakan layanan analitik Neurometric® kepada mitra (“Mitra”, “Anda”).

Kebijakan ini ditujukan kepada Mitra selaku pelaku usaha (B2B) dan mengatur pembagian peran serta tanggung jawab antara VNT dan Mitra sehubungan dengan pemrosesan data peserta assessment.

Kebijakan ini tidak ditujukan kepada peserta akhir. Pemberitahuan privasi dan persetujuan kepada peserta disampaikan secara terpisah oleh Mitra, dengan menggunakan template rujukan yang disediakan VNT atau dokumen setara yang memenuhi persyaratan DPA §2.3.		 1. Introduction and Scope.
This Privacy Notice (“Notice”) explains how Vanaya NeuroTech, operated by PT Douva Affala International (“VNT”, “we”), processes data in providing the Neurometric® analytics service to partners (“Partner”, “you”).

This Notice is addressed to Partners as businesses (B2B) and governs the allocation of roles and responsibilities between VNT and the Partner in respect of the processing of assessment participant data.

This Notice is not addressed to end participants. The privacy notice and consent to participants are provided separately by the Partner, using the reference template made available by VNT or an equivalent document meeting the requirements of DPA §2.3.
2. Definisi.
(a) “Identitas Peserta” berarti data yang secara langsung mengidentifikasi peserta, termasuk nama dan kontak.
(b) “Data Terpseudonimisasi” berarti data yang diberi pengenal (ID) tanpa identitas langsung, termasuk data deret waktu (time-series) dan skor.
(c) “Data Turunan” berarti skor, indeks, fitur, parameter, model, dan keluaran analitik yang dihasilkan VNT dari pemrosesan Data Terpseudonimisasi, termasuk dataset agregat; tidak termasuk data mentah dan identitas peserta (selaras Pasal 1 TLA).
(d) “Data Konteks” berarti atribut non-identitas: jenjang jabatan (job level), industri, dan negara.
(e) “Pengendali” berarti pihak yang menentukan tujuan dan cara pemrosesan; “Prosesor” berarti pihak yang memproses atas nama dan instruksi Pengendali.
(f) “UU PDP” berarti Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi.		 2. Definitions.
(a) “Participant Identity” means data that directly identifies a participant, including name and contact details.
(b) “Pseudonymised Data” means data assigned an identifier (ID) without direct identity, including time-series data and scores.
(c) “Derived Data” means the scores, indices, features, parameters, models, and analytical outputs generated by VNT from processing Pseudonymised Data, including aggregated datasets; excluding raw data and participant identity (consistent with TLA Section 1).
(d) “Context Data” means non-identity attributes: job level, industry, and country.
(e) “Controller” means the party determining the purposes and means of processing; “Processor” means the party processing on behalf of and on the instructions of the Controller.
(f) “PDP Law” means Law No. 27 of 2022 on Personal Data Protection.
3. Peran Para Pihak.
Mitra adalah Pengendali atas Identitas Peserta dan atas hubungan dengan peserta di yurisdiksinya. Mitra mengumpulkan persetujuan, memegang Identitas Peserta, dan memetakan peserta ke ID. VNT tidak pernah menerima atau menyimpan Identitas Peserta.

VNT memiliki peran ganda:
(i) sebagai Prosesor ketika memproses Data Terpseudonimisasi untuk menghasilkan laporan atas instruksi Mitra; dan
(ii) sebagai Pengendali ketika menyimpan dan menggunakan Data Terpseudonimisasi dan Data Turunan untuk tujuannya sendiri, yaitu analitik longitudinal dan perbaikan model.

Dalam kapasitasnya sebagai Pengendali, VNT hanya mengendalikan Data Terpseudonimisasi dan tidak pernah Identitas Peserta.		 3. Roles of the Parties.
The Partner is the Controller of Participant Identity and of the relationship with participants in its jurisdiction. The Partner collects consent, holds Participant Identity, and maps participants to an ID. VNT never receives or stores Participant Identity.

VNT holds a dual role:
(i) as Processor when processing Pseudonymised Data to generate reports on the Partner’s instructions; and
(ii) as Controller when storing and using Pseudonymised Data and Derived Data for its own purposes, namely longitudinal analytics and model improvement.

In its capacity as Controller, VNT controls only Pseudonymised Data and never Participant Identity.
4. Data yang Diproses VNT.
VNT menyimpan dan memproses:
(a) Data Terpseudonimisasi (ID peserta dan data deret waktu/skor);
(b) Data Turunan (fitur, dataset agregat, dan model); dan
(c) Data Konteks (jenjang jabatan, industri, negara).

VNT tidak menyimpan Identitas Peserta dalam bentuk apa pun. Pada laporan, kolom nama diisi dengan ID peserta, bukan nama asli.

Data Konteks disimpan dalam bentuk terkategorisasi (mis. jenjang jabatan), bukan jabatan mentah yang dapat menunjuk individu tertentu.		 4. Data Processed by VNT.
VNT stores and processes:
(a) Pseudonymised Data (participant ID and time-series/scores);
(b) Derived Data (features, aggregated datasets, and models); and
(c) Context Data (job level, industry, country).

VNT does not store Participant Identity in any form. In reports, the name field is populated with the participant ID, not the real name.

Context Data is stored in categorised form (e.g. job level), not raw titles capable of pointing to a specific individual.
5. Dasar Hukum dan Persetujuan.
Persetujuan peserta dikumpulkan oleh Mitra sebelum assessment, menggunakan template pemberitahuan dan persetujuan rujukan yang disediakan VNT atau dokumen setara yang memenuhi persyaratan DPA §2.3. Mitra selaku Pengendali bertanggung jawab memastikan kesesuaian dokumen tersebut dengan hukum yang berlaku di yurisdiksinya.

Persetujuan mencakup dua tujuan:
(i) perekaman dan pemrosesan data untuk menghasilkan laporan; dan
(ii) penyimpanan dan penggunaan Data Terpseudonimisasi oleh VNT untuk analitik longitudinal dan perbaikan model.

VNT memproses data atas dasar persetujuan tersebut serta instruksi Mitra.		 5. Legal Basis and Consent.
Participant consent is collected by the Partner before the assessment, using the reference notice-and-consent template made available by VNT or an equivalent document meeting the requirements of DPA §2.3. The Partner, as Controller, is responsible for ensuring that such document complies with the law applicable in its jurisdiction.

The consent covers two purposes:
(i) recording and processing data to generate reports; and
(ii) storage and use of Pseudonymised Data by VNT for longitudinal analytics and model improvement.

VNT processes data on the basis of that consent and the Partner’s instructions.
6. Tujuan Pemrosesan.
VNT memproses data untuk tujuan berikut, yang bersifat tertutup:
(1) menghasilkan laporan Neurometric®;
(2) analitik longitudinal;
(3) perbaikan dan pelatihan model; dan
(4) analisis agregat (sebaran per jenjang jabatan, industri, dan negara).

VNT tidak memproses data untuk tujuan lain di luar daftar ini tanpa dasar tambahan yang sah.		 6. Purposes of Processing.
VNT processes data for the following purposes, which are exhaustive:
(1) generating Neurometric® reports;
(2) longitudinal analytics;
(3) model improvement and training; and
(4) aggregate analysis (distribution by job level, industry, and country).

VNT does not process data for purposes outside this list without an additional lawful basis.
7. Penyimpanan dan Retensi.
Data Terpseudonimisasi dan Data Turunan disimpan selama VNT beroperasi, karena nilai analitik longitudinal bertambah seiring waktu.

Berakhirnya kerja sama dengan Mitra tidak menghapus Data Terpseudonimisasi yang telah sah dikumpulkan; data tersebut tetap dapat digunakan VNT sesuai persetujuan yang telah diberikan, karena tidak memuat Identitas Peserta.

Penghapusan atas data tertentu dilakukan atas permintaan yang sah melalui Mitra sebagaimana diatur pada Bagian 10.		 7. Storage and Retention.
Pseudonymised Data and Derived Data are retained for as long as VNT operates, because the value of longitudinal analytics increases over time.

Termination of the Partner relationship does not delete Pseudonymised Data already lawfully collected; such data may continue to be used by VNT in accordance with the consent given, as it contains no Participant Identity.

Deletion of specific data is carried out upon a valid request made through the Partner as set out in Section 10.
8. Transfer Lintas Negara.
Data diproses dan disimpan pada infrastruktur cloud yang berlokasi di Singapura (AWS).

Hanya Data Terpseudonimisasi yang ditransfer lintas negara; Identitas Peserta tidak pernah ditransfer.

Untuk Mitra di kawasan ASEAN, transfer dilindungi melalui ASEAN Model Contractual Clauses (MCC). VNT menerapkan perlindungan yang setara atas data yang ditransfer.		 8. Cross-Border Transfer.
Data is processed and stored on cloud infrastructure located in Singapore (AWS).

Only Pseudonymised Data is transferred cross-border; Participant Identity is never transferred.

For Partners in the ASEAN region, transfers are protected through the ASEAN Model Contractual Clauses (MCC). VNT applies equivalent safeguards to the data transferred.
9. Keamanan dan Sub-Prosesor.
VNT menerapkan langkah pengamanan yang wajar sesuai standar industri, termasuk enkripsi saat transit dan penyimpanan, kontrol akses, dan pembatasan akses internal.

VNT dapat menggunakan sub-prosesor pihak ketiga (mis. penyedia infrastruktur cloud) untuk mendukung layanan. Daftar sub-prosesor tercantum dalam Lampiran 1.3 TLA dan diperbarui dari waktu ke waktu sesuai DPA §6.		 9. Security and Sub-processors.
VNT applies reasonable security measures in line with industry standards, including encryption in transit and at rest, access controls, and internal access restrictions.

VNT may use third-party sub-processors (e.g. cloud infrastructure providers) to support the service. The list of sub-processors is set out in Schedule 1.3 to the TLA and is updated from time to time in accordance with DPA §6.
10. Hak Subjek Data dan Alurnya.
Peserta menghubungi Mitra untuk pelaksanaan haknya (akses, koreksi, penghapusan), karena Mitra yang memegang Identitas Peserta dan mengenali peserta. VNT tidak berhubungan langsung dengan peserta.

Atas permintaan Mitra yang menyebutkan ID terkait, VNT menindaklanjuti permintaan tersebut atas Data Terpseudonimisasi yang relevan (mis. penghapusan atau koreksi).

VNT tidak dapat mengidentifikasi peserta secara mandiri dan hanya bertindak atas permintaan Mitra.		 10. Data Subject Rights and Process.
Participants contact the Partner to exercise their rights (access, correction, deletion), because the Partner holds Participant Identity and knows the participant. VNT has no direct relationship with participants.

Upon a Partner request citing the relevant ID, VNT acts on that request in respect of the relevant Pseudonymised Data (e.g. deletion or correction).

VNT cannot identify participants on its own and acts only upon the Partner’s request.
11. Tanggung Jawab dan Jaminan Mitra.
Mitra menjamin bahwa:
(a) persetujuan peserta yang sah telah diperoleh sebelum data dikirim ke VNT, mencakup kedua tujuan pada Bagian 5;
(b) data yang dikirim ke VNT tidak memuat Identitas Peserta dan diberi ID yang konsisten; dan
(c) Mitra mematuhi hukum pelindungan data yang berlaku di yurisdiksinya.

Mitra menanggung akibat yang timbul dari tidak dipenuhinya jaminan ini. VNT memproses data dengan asumsi jaminan tersebut dipenuhi dan tidak berkewajiban memverifikasi persetujuan tiap peserta.		 11. Partner Responsibilities and Warranties.
The Partner warrants that:
(a) valid participant consent has been obtained before data is sent to VNT, covering both purposes in Section 5;
(b) data sent to VNT contains no Participant Identity and is assigned a consistent ID; and
(c) the Partner complies with the data protection laws applicable in its jurisdiction.

The Partner bears the consequences arising from any breach of these warranties. VNT processes data assuming these warranties are met and is not obliged to verify the consent of each participant.
12. Kepemilikan Data dan Model.
Data Turunan, dataset agregat, dan model yang dikembangkan VNT merupakan milik VNT. Mitra tidak memperoleh hak kepemilikan atas Data Turunan, dataset, atau model tersebut.

Ketentuan rinci mengenai kepemilikan diatur dalam Perjanjian Lisensi Teknologi (TLA).		 12. Ownership of Data and Models.
Derived Data, aggregated datasets, and models developed by VNT are owned by VNT. The Partner acquires no ownership rights in such Derived Data, datasets, or models.

Detailed ownership provisions are set out in the Technology License Agreement (TLA).
13. Branding pada Laporan.
Setiap laporan diterbitkan secara co-branding, menampilkan logo Mitra dan atribusi Neurometric® (“powered by Neurometric®”).

Ketentuan rinci mengenai penggunaan logo dan atribusi diatur dalam TLA.		 13. Branding on Reports.
Each report is issued on a co-branded basis, displaying the Partner’s logo and the Neurometric® attribution (“powered by Neurometric®”).

Detailed provisions on logo use and attribution are set out in the TLA.
14. Perubahan, Kontak, dan Hukum yang Berlaku.
VNT dapat memperbarui Kebijakan ini dari waktu ke waktu; versi terbaru dipublikasikan di https://vanaya.tech/privacy-policy/.

Pertanyaan terkait Kebijakan ini dapat disampaikan ke [kontak VNT].

Kebijakan ini tunduk pada hukum Republik Indonesia, termasuk UU PDP (UU 27/2022) dan UU No. 24 Tahun 2009 tentang Bahasa.

Kebijakan ini dibuat dalam Bahasa Indonesia dan Bahasa Inggris; kedua versi memiliki keabsahan yang sama. Sepanjang diwajibkan oleh hukum Indonesia, versi Bahasa Indonesia berlaku; untuk interpretasi komersial lintas batas, para pihak merujuk versi Bahasa Inggris (selaras dengan TLA Pasal 27).		 14. Changes, Contact, and Governing Law.
VNT may update this Notice from time to time; the latest version is published at https://vanaya.tech/privacy-policy/.

Questions regarding this Notice may be directed to [VNT contact].

This Notice is governed by the laws of the Republic of Indonesia, including the PDP Law (Law 27/2022) and Law No. 24 of 2009 on Language.

This Notice is made in Bahasa Indonesia and English; both versions are equally authentic. To the extent required by Indonesian law, the Indonesian version prevails; for cross-border commercial interpretation, the parties refer to the English version (consistent with TLA Section 27).

B2B Privacy Notice — PT Douva Affala International (“Vanaya NeuroTech”) — v3.0 (Clickwrap) · selaras TLA v13